SurfaceScan haqqında
Müasir veb yaradıcıları, mühəndislər və təsisçilər üçün hazırlanmış aydın və sakit domen təhlükəsizliyi analizatoru.
SurfaceScan niyə yarandı?
Təhlükəsizlik skanerlərinin əksəriyyəti 90-cı illərin kiber-haker idarəetmə panelləri kimi qurulub: qaranlıq fonlar, neon düymələr, çaşdırıcı risk dərəcələri, süni həyəcan siqnalları və problemi həll etməmiş sizə bahalı xidmət satmağa çalışan aqressiv təkliflər.
Əslində veb təhlükəsizliyi boşluqlarının böyük əksəriyyəti sadə və asanlıqla düzəldilə bilən konfiqurasiya xətalarından qaynaqlanır: kofe mağazasındakı Wi-Fi şəbəkəsində kuki oğurluğuna yol açan çatışmayan HSTS başlığı, e-poçt saxtakarlığına imkan verən nizamlanmamış SPF qeydi və ya unudulmuş bulud servisinə yönələn köhnə DNS qeydi.
SurfaceScan domeninizin təhlükəsizlik durumunu sakit, anlaşıqlı və şəffaf şəkildə görməniz üçün yaradılıb. Biz sizə nəyin düzgün nizamlanmadığını, bunun hansı hücumlara dəvət çıxardığını aydın dildə izah edir və serveriniz üçün hazır düzəliş kodları təqdim edirik.
İş prinsipi
Hər bir yoxlama tamamilə passivdir və serverinizə heç bir zərər vurmadan dörd paralel mərhələdə icra edilir:
- Açıq DNS qeydlərinin oxunması: Əsas domeniniz və alt-domenləriniz üçün rəsmi DNS qeydləri (A, AAAA, MX, TXT, CAA və CNAME) sorğulanır.
- TLS əlaqəsinin yoxlanması: 443-cü porta SNI ilə qoşularaq açıq sertifikat zənciri, bitmə müddəti, açar gücü və dəstəklənən şifrələmə protokolları yoxlanılır.
- HTTP cavab başlıqlarının oxunması: Saytınıza standart GET sorğusu göndərilərək HSTS, CSP və X-Content-Type-Options kimi müdafiə başlıqları incələnir.
- Açıq faylların yoxlanması: RFC 9116 standartı üzrə
/.well-known/security.txtvə/robots.txtfaylları nəzərdən keçirilir.
Əsas prinsiplərimiz
Müdaxilə etmirik
Heç vaxt parolları qırmağa çalışmır, boşluqları istismar etmirik. Göndərilən bütün sorğular və opt-out qaydaları ilə Skaner haqqında səhifədə tanış ola bilərsiniz.
Praktik həllər
Təhlükəsizlik xətası düzəliş kodu olmadan faydasızdır. Hər bir qüsur üçün Nginx, Apache, Caddy, Vercel, Netlify, Cloudflare, Next.js, Express, IIS və WordPress kodları verilir.
Süni qorxu yaratmırıq
Çatışmayan başlıqlar fəlakət deyil, sakitcə aradan qaldırılmalı olan konfiqurasiya məsələsi kimi təqdim olunur.
Məxfiliyə hörmət
Ani yoxlamalar üçün qeydiyyat tələb olunmur, şəxsi izləyicilər və reklam kodları yerləşdirilmir. Hesaba giriş yalnız izləmə siyahıları, Şəxsi API açarları və Pro monitorinqi üçün istəyə bağlıdır.
Tez-tez verilən suallar
İstənilən açıq domeni skan etmək qanunidirmi?
Bəli. SurfaceScan veb brauzerinizin saytı açarkən etdiyi eyni şəbəkə sorğularını həyata keçirir (DNS sorğusu, TLS əlaqəsi və sadə GET sorğusu). Qapalı şəbəkələrə və ya serverlərin daxilinə müdaxilə olunmur.
Qiymət niyə A-dan B və ya C-yə düşə bilər?
Təhlükəsizlik standartları yenilənir. SSL sertifikatının bitməsinə 14 gündən az qalıbsa, yeni əlavə edilmiş kənar skriptdə SRI yoxdursa və ya DMARC qeydiniz p=none olaraq qalıbsa, bal azalır.
Domenimin skan edilməsindən imtina (opt-out) edə bilərəmmi?
Bəli. _surfacescan.<domeniniz> ünvanında dəyəri optout olan DNS TXT qeydi dərc edin və ya Əlaqə səhifəsindən müraciət göndərin. Ətraflı: Skaner haqqında məlumat.
Daxili şəbəkə IP-sini (məsələn, 192.168.1.1) skan etmək olarmı?
Xeyr. SurfaceScan ciddi SSRF (Server-Side Request Forgery) filtrlərini tətbiq edir. Daxili IP altşəbəkələrinə, loopback ünvanlara edilən bütün sorğular şəbəkəyə çıxmadan dərhal rədd edilir.
SurfaceScan-dən istifadə pulsuzdurmu?
Birdəfəlik domen yoxlamaları, siyasət alətləri və başlanğıc imkanlar (3 izlənən domen və dəqiqədə 30 API sorğusu) həmişə pulsuzdur. 50-yə qədər domenin planlı monitorinqi, artırılmış API limiti (dəqiqədə 120 sorğu) və avtomatik xəbərdarlıqlar üçün SurfaceScan Pro ($5/ay) planına baxa bilərsiniz.
Əlaqə saxlayın
Metodologiyamız barədə sualınız var, yoxsa hesabatınızı oxumaqda köməyə ehtiyac duyursunuz?