Documentazione

Inserisci un qualsiasi URL pubblico e Watchpost lo analizza dall'esterno, con lo stesso punto di vista di un attaccante. Una scansione standard è passiva e in sola lettura: carica la tua homepage e il suo JavaScript, esegue un handshake TLS, effettua lookup DNS e richiede un breve elenco di percorsi noti come /.env o /.git/config.

Non invia mai moduli, non tenta mai di effettuare il login e non invia mai payload di exploit. La maggior parte delle scansioni termina in meno di un minuto. I risultati per lo stesso host vengono riutilizzati per 24 ore, quindi le scansioni ripetute non gravano di nuovo sul tuo server.

Consulta tutti i controlli che eseguiamo nel catalogo dei controlli.

• Passiva: chiunque può eseguirla su qualsiasi sito pubblico. Legge solo ciò che è già pubblico.
• Approfondita: solo per i proprietari autenticati che hanno verificato il dominio. I controlli approfonditi testano attivamente la configurazione, ad esempio se le tabelle Supabase o i database Firebase possono essere letti con la chiave pubblica inclusa nel tuo sito.

I controlli approfonditi registrano solo conteggi e nomi (ad esempio "tabella profiles: 1.204 righe leggibili"), mai i dati stessi. I report delle scansioni approfondite sono visibili solo al proprietario del sito.

Aggiungi il sito dalla tua dashboard. Riceverai un token: pubblicalo con uno qualsiasi di questi metodi, poi premi Verifica:

1. Record DNS TXT sull'host: watchpost-verify=<token>
2. File in https://your-domain/.well-known/watchpost-verify.txt contenente il token
3. Meta tag nel <head> della tua homepage: <meta name="watchpost-verify" content="<token>">

La proprietà viene ricontrollata prima di una scansione approfondita quando la verifica ha più di 30 giorni. Se il token non c'è più, le scansioni approfondite vengono bloccate di nuovo finché non verifichi di nuovo.

• Scansioni anonime: 5 al minuto e 50 al giorno per indirizzo IP.
• I risultati per lo stesso host sono memorizzati in cache per 24 ore.
• Siti di tua proprietà: una nuova scansione passiva ogni 5 minuti e una scansione approfondita all'ora.
• Fino a 20 siti per account.

Ogni scansione parte da 100 punti. Ogni problema rilevato sottrae punti in base alla gravità: critico 40, alto 15, medio 5, basso 1. Il punteggio corrisponde a un voto: A da 90, B da 75, C da 60, D da 40, F sotto 40. Qualsiasi problema critico limita il voto a D.

Un buon voto significa che non abbiamo trovato nulla nell'ambito dei nostri controlli. Non è un penetration test né una garanzia che un sito sia sicuro.

I report delle scansioni anonime non sono elencati: chiunque abbia il link può aprirli, ma sono esclusi dai motori di ricerca. I report dei siti del tuo account, passivi o approfonditi, sono visibili solo a te.

Gli stessi endpoint usati dal sito web sono aperti, nel rispetto dei limiti indicati sopra:

• POST /api/v1/scans con {"url": "https://example.com"} restituisce {"id": "…"}
• GET /api/v1/scans/<id> restituisce stato, voto e problemi rilevati
• GET /api/v1/checks restituisce il catalogo dei controlli

Ti chiediamo di identificare la tua integrazione con uno User-Agent descrittivo.