رفع یافته‌ها
هر یافته را با تنظیمات آماده برای Nginx، Apache، کلادفلر و آروان برطرف کنید.
پاسخ سؤالتان را پیدا نکردید؟ تیم پشتیبانی wardex در ساعات کاری کمکتان می‌کند.تماس با پشتیبانی
هر یافته‌ی اسکن امنیتی سه بخش دارد: مشکل چیست، چرا مهم است و چطور رفعش کنم. راه‌حل‌ها تا جای ممکن آماده‌ی کپی هستند: برای Nginx، Apache و کلادفلر، به‌علاوه‌ی یک راهنمای کلی برای بقیه‌ی موارد.
شدت: زیادهدرهای امنیتی
هدر HSTS تنظیم نشده است
مشکل چیست
مرورگر مجبور نیست همیشه از HTTPS استفاده کند.
چرا مهم است
در شبکه‌ی ناامن، اولین درخواست می‌تواند شنود یا دست‌کاری شود.
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
رایج‌ترین یافته‌ها#
هدرهای امنیتی#
پرتکرارترین یافته‌ی اسکن‌ها، هدرهای امنیتی جاافتاده است. خوشبختانه رفعش هم ساده‌ترین است. همه‌ی هدرها را یک‌جا در هدرهای امنیتی آماده گذاشته‌ایم.
فایل حساس در دسترس عموم#
فایل را از پوشه‌ی عمومی بردارید، دسترسی به فایل‌های مخفی را ببندید و همه‌ی رمزهای داخل آن را عوض کنید. مراحل کامل در اسکن نشت اطلاعات آمده است.
پروتکل TLS منسوخ#
Nginx
ssl_protocols TLSv1.2 TLSv1.3;
Apache
SSLProtocol -all +TLSv1.2 +TLSv1.3
SSL/TLS → Edge Certificates → Minimum TLS Version → 1.2
کوکی بدون Secure، HttpOnly یا SameSite#
کوکی‌های نشست (session)، یعنی همان‌هایی که ورود کاربر را نگه می‌دارند، باید هر سه ویژگی را داشته باشند:
Secure: فقط روی HTTPS فرستاده شود.HttpOnly: اسکریپت‌های صفحه نتوانند آن را بخوانند. این ویژگی جلوی سرقت نشست با XSS را می‌گیرد.SameSite=LaxیاStrict: سایت‌های دیگر نتوانند درخواست را با کوکی کاربر بفرستند.
این تنظیم معمولاً در خود برنامه انجام می‌شود، نه وب‌سرور. مثلاً در لاراول در config/session.php و در PHP با session.cookie_secure و session.cookie_httponly.
CORS باز (Access-Control-Allow-Origin: *)#
به‌جای ستاره، فقط دامنه‌هایی را مجاز کنید که واقعاً به API شما نیاز دارند:
Nginx
add_header Access-Control-Allow-Origin "https://your-trusted-origin.com" always;
هرگز * را همراه با ارسال کوکی یا توکن (credentials) استفاده نکنید.
حالت Debug روشن است#
صفحه‌ی خطای Debug مسیر فایل‌ها، نسخه‌ها و گاهی رمزها را نشان می‌دهد. در محیط اصلی خاموشش کنید:
| فریم‌ورک | تنظیم |
|---|---|
| Laravel | APP_DEBUG=false در فایل .env |
| Django | DEBUG = False در settings.py |
| ASP.NET | <customErrors mode="On"> در web.config |
نشت IP اصلی سرور#
اگر سایت پشت کلادفلر یا آروان است ولی IP واقعی سرور از راه دیگری، مثلاً زیردامنه‌های mail یا ftp یا cpanel، پیدا شود، مهاجم می‌تواند CDN را دور بزند و مستقیم به سرور حمله کند.
- همه‌ی رکوردهای DNS را از پشت CDN عبور دهید (proxied)، یا زیردامنه‌هایی را که مستقیم به سرور اشاره می‌کنند، به سرور دیگری منتقل کنید.
- فایروال سرور اصلی را طوری تنظیم کنید که فقط از IPهای CDN اتصال بپذیرد.
نبود SPF و DMARC#
بدون این دو رکورد، هر کسی می‌تواند ایمیلی بفرستد که ظاهراً از طرف دامنه‌ی شماست. در پنل DNS:
DNS
@ TXT "v=spf1 include:_spf.your-mail-provider.com ~all"
_dmarc TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.ir"
مقدار SPF را از سرویس ایمیلتان بگیرید. هر سرویس مقدار include مخصوص خودش را دارد.
بعد از رفع#
دوباره اسکن دوباره را بزنید. یافته‌ی رفع‌شده از فهرست حذف می‌شود و امتیاز بالا می‌رود. اگر بررسی مرتبط با آن یافته رخداد باز داشته باشد، رخداد در اجرای بعدی بررسی خودکار بسته می‌شود.