Güvenlik başlıkları taraması
Bir web adresi yazın. Sunucumuz sayfayı bir kez çeker; tarayıcınız da sayfanın güvenlik başlıklarını, çerezlerini ve TLS ayarlarını notlandırır, her bulgu için bir çözüm sunar.
Sunucumuz yazdığınız adrese bir kez istek gönderir ve başlıklarını ve sertifika bilgilerini size döndürür. Hiçbir şey saklanmaz.
Tarama nasıl çalışır
Sunucumuz adrese bir tarayıcı gibi bir kez istek gönderir ve en fazla beş yönlendirmeyi izler. Yalnızca standart portlardaki herkese açık web sitelerini kontrol eder; bir yönlendirmeyle ulaşılanlar dahil özel, yerel ve ayrılmış adresleri reddeder. Yanıt başlıklarını ve TLS bilgilerini döndürür; notlandırmayı tarayıcınız yapar.
Not; Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, çerçevelemeye karşı koruma, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy ve http’den https’ye yönlendirmeyi kapsar. Tarama ayrıca başlıklardaki sürüm numaralarını, Secure özelliği olmayan çerezleri, artık kullanılmayan başlıkları, eski TLS sürümlerini ve sertifika sorunlarını da işaretler.
Not nasıl hesaplanır
Kontroller toplam 100 puan değerindedir; bilgi sızıntıları, güvensiz çerezler ve sertifika ya da TLS zayıflıkları için puan düşülür. 85 puan ve üzeri A’dır; A+ için ayrıca includeSubDomains içeren HSTS, zayıflık içermeyen bir CSP ve hiç uyarı olmaması gerekir. HTTPS yoksa ya da tarayıcıların reddettiği bir sertifika kullanılıyorsa not F’dir. Her sonucun altındaki döküm, her puanın nereden geldiğini gösterir.
Sorular
Sunucunuz yazdığım adresle ne yapıyor?
Sayfaya bir kez istek gönderir, yanıt başlıklarını ve sertifikayı okur ve bunları tarayıcınıza geri gönderir. Hiçbir şey saklanmaz; tarama aracı User-Agent başlığında kendini AngelForceScanner olarak tanıtır.
İç ağdaki ya da test ortamındaki bir siteyi tarayabilir miyim?
Yalnızca standart portlar üzerinden internetten erişilebiliyorsa. Tarama aracı, iç ağları yoklamak için kullanılamasın diye özel, yerel ve ayrılmış adresleri reddeder.
Tarama sayısı neden sınırlı?
Her tarama hedef siteye gerçek istekler gönderir. Servisi herkes için adil tutmak ve kötüye kullanımı önlemek için bağlantı başına on dakikada altı taramaya izin veriyoruz.
Başka bir tarama aracı neden farklı not veriyor?
Her araç başlıklara farklı ağırlık verir. Bulgular ve puan dökümü neyi kontrol ettiğimizi tam olarak gösterir; bu da harf notundan daha önemlidir.
Bir aracın gösterebileceğinden fazlasına mı ihtiyacınız var?
Bir araç tek bir şeyi kontrol eder. Danışmanlarımız resmin tamamına bakar.
Sızma testiİlgili yazılar
-
Uygulamaya dönük WordPress güvenlik kontrol listesi
Mantıklı bir sırayla on iki WordPress sıkılaştırma adımı: güncellemeler ve terk edilmiş eklentilerden 2FA, XML-RPC, yedek, dosya bütünlüğü ve WAF’a.
-
Önemli güvenlik başlıkları ve emekliye ayrılması gerekenler
Nonce’lu CSP, HSTS ve preload, frame-ancestors, Referrer-Policy, Permissions-Policy ve COOP için örnekli pratik rehber; nelerin bırakılması gerektiği.
-
Güvenli dosya yükleme özellikleri nasıl tasarlanır ve test edilir
OWASP cheat sheet temelinde dosya yükleme özellikleri için kontrol listesi ve her yükleme uç noktasına karşı çalıştırabileceğiniz testlerin tablosu.