Scanerul verifică ce poate fi verificat din exterior, fără acces la server: antetele de securitate, configurarea conexiunii criptate, înregistrările care împiedică falsificarea adresei de email și fișierele care nu ar trebui să fie accesibile public.
Pe scurt
- Ce verifică
- Antete de securitate, politica de conținut, TLS, SPF, DKIM, DMARC, CAA, fișiere expuse.
- Principiul de punctare
- Niciun punct pentru un test care nu a rulat. Un test blocat nu este un test trecut.
- Pentru cine
- Administratori care vor o verificare rapidă înainte sau după o intervenție.
Regula care a schimbat cel mai mult rezultatele
Un test care nu a putut rula nu primește puncte. Pare evident, dar varianta inițială acorda punctaj când verificarea eșua din motive de rețea, ceea ce producea rapoarte optimiste exact în situațiile în care ceva era în neregulă.
Ce a cerut atenție
Sistemul de protecție de pe server bloca scanerul după identificatorul lui de agent, returnând o pagină de verificare cu cod de succes. Rezultatul era o scanare aparent reușită, dar făcută pe ecranul de verificare, nu pe site. Aceeași problemă afecta și fișierul cu reguli pentru roboți, care ajungea să fie servit ca pagină de verificare, situație înrudită cu cea din articolul despre crawlerele blocate implicit. Verificările pe care le face scanerul intră în serviciul de securitate web.
Ce verifică, concret
Antetele de securitate și politica de conținut, configurarea conexiunii criptate și protocoalele încă acceptate, înregistrările care împiedică falsificarea adresei de email, autoritatea care are voie să emită certificate pentru domeniu și fișierele care nu ar trebui să fie accesibile public: configurări, jurnale, copii de siguranță uitate în rădăcină.
Ce nu poate verifica un scaner din exterior
Drepturile pe fișiere, versiunile componentelor instalate și conturile de administrare. Sunt lucruri care cer acces la server, iar un scaner care pretinde că le verifică din exterior fie ghicește, fie raportează pe baza unor semne indirecte. Raportul spune explicit ce nu a putut fi verificat, în loc să dea un punctaj fals liniștitor.