Protectoryמה סריקה של Protectory עושה - ומה לא
סריקה היא מבט פסיבי מבחוץ על האתר הציבורי שלך: היא מריצה 78 בדיקות עם אותן בקשות שדפדפן של מבקר היה שולח.
מה נבדק
- קבצים שלא אמורים להיות ציבוריים (.env, .git, גיבויים, source maps, רשימות תיקיות).
- סודות ומפתחות בתוך קוד ה-JavaScript שהאתר שולח לכל מבקר.
- כללי Supabase ו-Firebase שמאפשרים לכל אחד לקרוא או לכתוב את המידע שלך (בקשות קריאה; בדיקת כתיבה רק כשאתה מאשר אותה לפרויקט שלך).
- HTTPS, תעודות, כותרות אבטחה, עוגיות ומדיניות אבטחת תוכן.
- חולשות ידועות בספריות JavaScript וברכיבי WordPress, ותוכנת שרת שהגיעה לסוף חייה.
- דואר (SPF, DKIM, DMARC), תפוגת דומיין ורשימות חסימה.
- סימני SEO ומהירות בסיסיים.
מה לא נעשה
- אין בדיקות חדירה ואין מטעני תקיפה.
- אין התחברות לאתר או לאפליקציה שלך.
- אין שינויים באתר, במידע או בהגדרות שלך.
- אין הרצה של קוד ה-JavaScript של האתר כדי לגלות גרסאות.
- לא יותר בקשות מתקציב הסריקה של התוכנית, בקצב מנומס.
מגבלות בכנות
- סריקה פסיבית רואה רק מה שציבורי; דפים מאחורי התחברות לא נבדקים.
- זיהוי ספריות תלוי בכך שמחרוזות הגרסה מגיעות לדפדפן: חבילות בלי כותרת, קבצים ששמם שונה וחבילות בצד השרת לא מזוהים.
- חולשה ידועה בגרסה לא מוכיחה שאפשר לנצל את האתר שלך.
- אף סורק לא מוצא הכול; Protectory לא טוען לכיסוי מלא.