Como verificamos
O Lockpick lê o que qualquer pessoa online pode ver sobre o seu site, dentro de limites fixos, e relata apenas o que viu.
O Lockpick verifica o seu site de fora, do jeito que um estranho ou um atacante o encontraria. Cada verificação lê o que o seu site já mostra ao público, mais os registros públicos sobre o seu domínio, e mais nada.
Dentro de limites fixos
Cada tipo de verificação tem um orçamento fixo que não pode ser ultrapassado.
| Pulse | Deep | |
|---|---|---|
| Em palavras simples | Uma análise rápida de fora, do jeito que um estranho ou um bot enxerga o seu site | Uma análise cuidadosa do seu site, do jeito que um atacante determinado faria |
| O que analisamos | A página inicial e os arquivos que ela carrega, as configurações de remetente de e-mail (SPF e DMARC), os cabeçalhos de segurança e o TLS, e os registros públicos de DNS, certificado e subdomínios, em no máximo 10 requisições. | Até 30 páginas legíveis e 20 scripts, arquivos que não deveriam ser públicos, áreas administrativas e a sua API, se você tiver uma. Se o seu site monta as páginas no navegador, o relatório informa quanto o Deep conseguiu ler. |
| Quanto tempo leva | Geralmente menos de 15 segundos | De 2 a 8 minutos |
| Precisa de prova de propriedade | Não, só confirme que você tem permissão | Sim, um registro de DNS, uma meta tag ou um arquivo, mantido publicado |
- Um Pulse envia no máximo 10 requisições ao seu site, e uma verificação Deep no máximo 200.
- As requisições são espaçadas, e a verificação para cedo se o seu site ficar lento, falhar ou recusar.
- Ler registros de DNS, logs de certificados e o registro do domínio nunca toca o seu site.
Apenas o que vimos
Um achado só é relatado com a prova que o mostra. Um relatório diz o que cada parte da verificação conseguiu ler, e tudo o que não conseguiu verificar é marcado como não verificado, nunca como aprovado. Como classificamos os achados explica a gravidade, o que um achado confirmado precisa mostrar e o que verificar de novo pode comprovar.
Primeiro a sua permissão
Cada verificação começa com a sua confirmação de que você é o dono do site ou de que tem permissão para testá-lo. Uma verificação Deep também precisa de prova de propriedade e da sua aprovação a cada vez.
Isto foi útil?
Referência
Cada operação da API do Lockpick, com a sua permissão, entradas e resposta, gerada a partir da própria API. Versão 1, em beta.
Como classificamos os achados
Como o Lockpick define a gravidade, o que um achado confirmado precisa mostrar, quão certos estamos de cada achado, o que corrigir primeiro e o que verificar de novo pode comprovar.