اسکن امنیتی و امتیاز
اسکن چه چیزهایی را می‌سنجد و امتیاز ۰ تا ۱۰۰ از کدام دسته‌ها ساخته می‌شود.
پاسخ سؤالتان را پیدا نکردید؟ تیم پشتیبانی wardex در ساعات کاری کمکتان می‌کند.تماس با پشتیبانی
اسکن امنیتی در چند ثانیه تصویری کامل از وضعیت امنیتی ظاهری سایت می‌دهد. نتیجه یک عدد ۰ تا ۱۰۰ است، همراه با فهرست یافته‌ها. هر یافته می‌گوید مشکل چیست، چرا مهم است و دقیقاً چه چیزی را باید تغییر دهید.
اسکن امنیتی · shop.example.ir
۸۴
از ۱۰۰
امتیاز امنیتی کلی
نشت فایل‌های حساس · ۲۰٪
۱۰۰
هدرهای امنیتی · ۱۸٪
۵۶
گواهی SSL · ۱۶٪
۱۰۰
نسخه‌ی TLS · ۱۰٪
۱۰۰
پیکربندی (CORS، Debug و…) · ۱۰٪
۸۰
کوکی‌ها · ۸٪
۴۰
فناوری و نسخه‌ها · ۵٪
۸۰
تهدیدها و ایمیل · ۵٪
۹۴
CDN / WAF · ۴٪
۱۰۰
نشت IP اصلی سرور · ۴٪
۱۰۰
اجرای اسکن#
- ۱
به «اسکن امنیتی» بروید
از منوی کناری اسکن امنیتی را باز کنید و سایت موردنظر را انتخاب کنید.
- ۲
«شروع اسکن» یا «اسکن دوباره» را بزنید
اسکن معمولاً کمتر از یک دقیقه طول می‌کشد. اسکن فقط روی سایت‌هایی اجرا می‌شود که مالکیتشان تأیید شده است.
- ۳
یافته‌ها را مرور کنید
یافته‌ها به ترتیب شدت مرتب شده‌اند. از بالا شروع کنید. راهنمای رفع هرکدام را در رفع یافته‌ها ببینید.
بعد از هر تغییر در تنظیمات سایت، دوباره اسکن دوباره را بزنید تا امتیاز تازه را ببینید. اسکن‌های قبلی هم نگه داشته می‌شوند.
امتیاز از چه چیزهایی ساخته می‌شود؟#
امتیاز کلی، میانگین وزنی یازده دسته است. دسته‌هایی که بیشترین خطر واقعی را دارند، وزن بیشتری گرفته‌اند:
| دسته | وزن | چه چیزی بررسی می‌شود |
|---|---|---|
| نشت فایل‌های حساس | ۱۷٪ | .env، .git، نسخه‌های پشتیبان، فهرست فایل‌ها. جزئیات |
| هدرهای امنیتی | ۱۵٪ | CSP، HSTS و شش هدر دیگر. اگر CSP نداشته باشید، یک سیاست آماده از روی منابعی که صفحه‌ی شما بارگذاری می‌کند ساخته می‌شود. جزئیات |
| گواهی SSL | ۱۶٪ | اعتبار و نزدیکی به انقضا |
| نسخه‌ی TLS | ۱۰٪ | استفاده از نسخه‌های منسوخ |
| پیکربندی | ۱۰٪ | CORS باز، حالت Debug روشن، کلیک‌دزدی، MIME sniffing |
| کوکی‌ها | ۸٪ | ویژگی‌های Secure، HttpOnly و SameSite، جدا برای هر کوکی |
| فناوری و نسخه‌ها | ۵٪ | نسخه‌های قدیمی و آسیب‌پذیر؛ برای وردپرس، تک‌تک افزونه‌ها و قالب. جزئیات |
| در معرض اینترنت | ۶٪ | زیردامنه‌هایی که قابل تصاحب‌اند؛ و با اجازه‌ی تست امنیتی، پورت‌های دیتابیس، Redis، Docker و پنل‌های مدیریت که نباید باز باشند |
| تهدیدها و ایمیل | ۵٪ | SPF، DMARC و DKIM؛ با رکورد DNS آماده برای دامنه‌ی شما |
| CDN / WAF | ۴٪ | آیا سایت پشت یک لایه‌ی محافظ است؟ |
| نشت IP اصلی | ۴٪ | آیا IP واقعی سرور با وجود CDN لو رفته است؟ |
بین دو اسکن#
اسکن یک عکس لحظه‌ای است. برای اینکه هک شدن صفحه همان لحظه معلوم شود، در همین صفحه بخش هشدار خودکار را روشن کنید: تغییر ناگهانی صفحه و اسکریپت‌های صفحه‌ی حساس هر ۱۵ و ۳۰ دقیقه بررسی می‌شوند، و دامنه‌های مشابه هر روز.
شدت یافته‌ها#
| شدت | معنی | اقدام |
|---|---|---|
| بحرانی | داده‌ها یا رمزها همین حالا در دسترس‌اند | فوراً؛ همین امروز |
| زیاد | راه مستقیم برای یک حمله‌ی رایج باز است | در اولین فرصت |
| متوسط | محافظتی که باید باشد، نیست | در برنامه‌ی کاری نزدیک |
| کم و اطلاعات | بهبود پیشنهادی یا صرفاً اطلاع | هر وقت فرصت شد |
این اسکن چه چیزی نیست#
اسکن wardex غیرمخرب است: فقط صفحه‌ها و فایل‌های عمومی را می‌خواند، چیزی ارسال یا تغییر نمی‌دهد و از هیچ آسیب‌پذیری بهره‌برداری نمی‌کند. برای پورت‌های حساس فقط یک اتصال TCP باز و بلافاصله بسته می‌شود؛ هیچ داده‌ای فرستاده نمی‌شود. این بخش فقط با اجازه‌ی تست امنیتی اجرا می‌شود. به همین دلیل امن است و می‌توان آن را مرتب اجرا کرد. ولی این یعنی جایگزین تست نفوذ کامل نیست. برای تست تزریق SQL، XSS و آسیب‌پذیری‌های شناخته‌شده، بررسی کامل را اجرا کنید. خطاهای منطق برنامه، مثل خطای کنترل دسترسی، فقط با تست نفوذ تخصصی پیدا می‌شوند.