ឧបករណ៍ពិនិត្យសុវត្ថិភាពវេបសាយ

វាយបញ្ចូលអាសយដ្ឋានវេបសាយ ដើម្បីទទួលបានរបាយការណ៍សុវត្ថិភាពរហ័ស។ ឧបករណ៍នេះដំណើរការដូច browser ផ្ទាល់ និងធ្វើតេស្តមូលដ្ឋានគ្រឹះដែលគ្រប់វេបសាយត្រូវតែមាន៖ វិញ្ញាបនបត្រ HTTPS ត្រឹមត្រូវ, ការបញ្ជូនបន្តពី http:// ទៅ https://, TLS ជំនាន់ទំនើប និង security headers ដែលការពារអ្នកទស្សនាពី cross-site scripting, clickjacking និង content sniffing។

វាក៏ពិនិត្យផងដែរលើ cookie flags, លេខជំនាន់ដែលលេចធ្លាយក្នុង headers, ធនធាន http:// គ្មានសុវត្ថិភាពនៅលើទំព័រ HTTPS, security.txt ព្រមទាំងកំណត់ត្រា SPF, DMARC និង CAA ដែលការពារកុំឱ្យអ្នកដទៃផ្ញើអ៊ីមែលក្លែងបន្លំឈ្មោះរបស់អ្នក ឬស្នើសុំវិញ្ញាបនបត្រសម្រាប់ domain របស់អ្នក។ បញ្ហានីមួយៗមកជាមួយការពន្យល់ខ្លីៗ និង header ឬកំណត់ត្រាជាក់លាក់ដែលត្រូវបន្ថែម។

របៀបប្រើឧបករណ៍ ឧបករណ៍ពិនិត្យសុវត្ថិភាពវេបសាយ

1. វាយបញ្ចូលអាសយដ្ឋានវេបសាយ ឧទាហរណ៍ example.com (https:// នឹងត្រូវបានបន្ថែមជូនដោយស្វ័យប្រវត្តិ)។
2. ចុចលើ ពិនិត្យសុវត្ថិភាព រួចរង់ចាំពីរបីវិនាទី។
3. អានចំណាត់ថ្នាក់ពិន្ទុ និងបញ្ជីត្រួតពិនិត្យដែលបានជាប់, មានការព្រមាន និងបានធ្លាក់។
4. ប្រើការណែនាំ 💡 ដើម្បីដោះស្រាយបញ្ហានៅលើ server របស់អ្នក រួចចុច ស្កេនម្តងទៀត។

ហេតុអ្វីប្រើ ឧបករណ៍ពិនិត្យសុវត្ថិភាពវេបសាយ របស់ ToolOrca

• HTTPS, កាលបរិច្ឆេទផុតកំណត់នៃវិញ្ញាបនបត្រ និងជំនាន់ TLS
• HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy និង Permissions-Policy
• Cookie flags ប្រភេទ Secure, HttpOnly និង SameSite
• Mixed content និង scripts របស់ភាគីទីបីនៅលើទំព័រដើម
• កំណត់ត្រា DNS ប្រភេទ SPF, DMARC និង CAA
• ពិន្ទុពេញ 100 ជាមួយចំណាត់ថ្នាក់ពី A+ ដល់ F ព្រមទាំងកូដកែតម្រូវដែលអាចចម្លងយកទៅប្រើបានភ្លាមៗ

អត្ថន័យនៃចំណាត់ថ្នាក់ពិន្ទុ

ការត្រួតពិនិត្យនីមួយៗមានទម្ងន់ពិន្ទុរៀងៗខ្លួន៖ HTTPS និងការបញ្ជូនបន្តមានពិន្ទុច្រើនជាងគេ បន្ទាប់មកគឺ HSTS និង Content-Security-Policy ហើយបន្ទាប់មកទៀតគឺ headers តូចៗ, cookies និងកំណត់ត្រាអ៊ីមែល។ ការពិនិត្យដែលជាប់ទទួលបានពិន្ទុពេញ ការព្រមានទទួលបានពាក់កណ្តាល។ A+ (95 ឡើងទៅ) មានន័យថាវេបសាយអនុវត្តតាមស្តង់ដារល្អបំផុតបច្ចុប្បន្ន។ C ឬទាបជាងនេះមានន័យថាអ្នកទស្សនាកំពុងខ្វះការការពារសំខាន់ៗ។

ឧបករណ៍នេះពិនិត្យតែទំព័រដើមជាសាធារណៈ និង headers របស់វាប៉ុណ្ណោះ។ វាមិនព្យាយាម hack, តេស្តពាក្យសម្ងាត់ ឬស្កេនរកភាពងាយរងគ្រោះក្នុងកូដរបស់អ្នកឡើយ ដូច្នេះពិន្ទុល្អមិនមែនបញ្ជាក់ថាវេបសាយមានសុវត្ថិភាពទាំងស្រុងនោះទេ ប៉ុន្តែវាបង្ហាញថាការការពារមូលដ្ឋានត្រូវបានបើកដំណើរការត្រឹមត្រូវ។

Headers ដែលត្រូវបានណែនាំឱ្យប្រើ

កញ្ចប់ headers ដ៏ល្អសម្រាប់ចាប់ផ្តើមលើវេបសាយទូទៅ៖ Strict-Transport-Security: max-age=31536000; includeSubDomains, X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin, Permissions-Policy: camera=(), microphone=(), geolocation=() និង Content-Security-Policy ដែលបញ្ជាក់តែប្រភពដែលទំព័ររបស់អ្នកប្រើប្រាស់ប៉ុណ្ណោះ។

បន្ថែមវាទៅក្នុង web server របស់អ្នក (Apache Header always set, nginx add_header … always), ក្នុងផ្ទាំងគ្រប់គ្រង hosting ឬក្នុង CDN ដូចជា Cloudflare។ គួរធ្វើតេស្ត CSP យ៉ាងតឹងរ៉ឹងជាមួយ Content-Security-Policy-Report-Only ជាមុនសិន ដើម្បីកុំឱ្យរំខានដល់ scripts ឬផ្ទាំងពាណិជ្ជកម្មរបស់អ្នក។

ភាពឯកជន និងដែនកំណត់

ការស្កេនដំណើរការលើ server របស់យើង ព្រោះ browser មិនត្រូវបានអនុញ្ញាតឱ្យអាន headers របស់វេបសាយផ្សេងនោះទេ។ មានតែវេបសាយសាធារណៈនៅលើ port 80 និង 443 ប៉ុណ្ណោះដែលអាចពិនិត្យបាន ចំណែកអាសយដ្ឋានបណ្តាញឯកជន (private network) នឹងត្រូវបានបដិសេធ។ លទ្ធផលត្រូវបានរក្សាទុកដប់នាទី ដើម្បីឱ្យការស្កេនម្តងទៀតមានល្បឿនលឿន ហើយអ្នកប្រើប្រាស់ម្នាក់ៗអាចស្កេនបានពីរបីដងក្នុងមួយនាទី។