Tài liệu

Nhập bất kỳ URL công khai nào, Watchpost sẽ xem xét trang web từ bên ngoài, đúng như góc nhìn của kẻ tấn công. Lượt quét tiêu chuẩn là thụ động và chỉ đọc: tải trang chủ cùng mã JavaScript của trang, thực hiện bắt tay TLS, tra cứu DNS và yêu cầu một danh sách ngắn các đường dẫn phổ biến như /.env hoặc /.git/config.

Trình quét không bao giờ gửi biểu mẫu, không thử đăng nhập và không gửi payload khai thác. Phần lớn lượt quét hoàn tất trong chưa đầy một phút. Kết quả cho cùng một máy chủ được dùng lại trong 24 giờ, vì vậy việc quét lặp lại sẽ không tác động thêm đến máy chủ của bạn.

Xem toàn bộ các mục kiểm tra trong danh mục kiểm tra.

• Thụ động: bất kỳ ai cũng có thể chạy trên bất kỳ trang web công khai nào. Chế độ này chỉ đọc những gì vốn đã công khai.
• Sâu: chỉ dành cho chủ sở hữu đã đăng nhập và đã xác minh tên miền. Các bước kiểm tra sâu chủ động kiểm thử cấu hình, ví dụ xem các bảng Supabase hoặc cơ sở dữ liệu Firebase có thể bị đọc bằng khóa công khai đi kèm trang web của bạn hay không.

Kiểm tra sâu chỉ ghi nhận số lượng và tên (ví dụ "bảng profiles: có thể đọc 1.204 dòng"), không bao giờ ghi lại bản thân dữ liệu. Báo cáo quét sâu chỉ chủ sở hữu trang web mới xem được.

Thêm trang web từ bảng điều khiển. Bạn sẽ nhận được một token; hãy công bố token bằng một trong các cách sau, rồi nhấn Xác minh:

1. Bản ghi DNS TXT trên máy chủ: watchpost-verify=<token>
2. Tệp tại https://your-domain/.well-known/watchpost-verify.txt chứa token
3. Thẻ meta trong <head> của trang chủ: <meta name="watchpost-verify" content="<token>">

Quyền sở hữu sẽ được kiểm tra lại trước khi quét sâu nếu lần xác minh đã quá 30 ngày. Nếu token không còn, quét sâu sẽ bị khóa lại cho đến khi bạn xác minh lại.

• Quét ẩn danh: 5 lượt mỗi phút và 50 lượt mỗi ngày cho mỗi địa chỉ IP.
• Kết quả cho cùng một máy chủ được lưu đệm trong 24 giờ.
• Trang web bạn sở hữu: quét lại thụ động mỗi 5 phút và một lượt quét sâu mỗi giờ.
• Tối đa 20 trang web cho mỗi tài khoản.

Mỗi lượt quét bắt đầu với 100 điểm. Mỗi phát hiện bị trừ điểm theo mức độ nghiêm trọng: nghiêm trọng 40, cao 15, trung bình 5, thấp 1. Điểm số được quy đổi thành xếp hạng: A từ 90, B từ 75, C từ 60, D từ 40, F dưới 40. Chỉ cần một phát hiện nghiêm trọng, xếp hạng tối đa sẽ là D.

Xếp hạng tốt nghĩa là chúng tôi không phát hiện vấn đề nào trong phạm vi các mục kiểm tra. Đây không phải là kiểm thử xâm nhập hay sự bảo đảm rằng trang web an toàn.

Báo cáo quét ẩn danh ở chế độ không công khai danh sách: bất kỳ ai có liên kết đều mở được, nhưng chúng không được lập chỉ mục trên công cụ tìm kiếm. Báo cáo của các trang web trong tài khoản của bạn, dù thụ động hay sâu, chỉ bạn mới xem được.

Các endpoint mà trang web sử dụng đều được mở, tuân theo các giới hạn nêu trên:

• POST /api/v1/scans với {"url": "https://example.com"} trả về {"id": "…"}
• GET /api/v1/scans/<id> trả về trạng thái, xếp hạng và các phát hiện
• GET /api/v1/checks trả về danh mục kiểm tra

Vui lòng định danh tích hợp của bạn bằng một User-Agent mang tính mô tả.