Basicตรวจความปลอดภัย + สุขภาพเว็บ
แพ็กเกจนี้คืออะไร
แพ็ก Basic คือการรู้ว่าเว็บคุณเปิดช่องอะไรไว้บ้าง โดยตรวจจากภายนอกล้วนๆ ไม่แตะข้างในเว็บและไม่ต้องหยุดให้บริการ
ผมสแกนตามหมวดของ OWASP Top 10 ตรวจใบรับรอง SSL ส่วนหัวความปลอดภัย การตั้งค่าที่เปิดช่องไว้ และความเร็วหน้าหลักทั้งบนมือถือและเดสก์ท็อป แล้วส่งรายงาน PDF ที่จัดอันดับความรุนแรงพร้อมวิธีแก้ทีละจุด
นี่คือแพ็กที่ถูกที่สุดและเห็นผลไวที่สุด หลายคนใช้ตัวนี้ดูวิธีทำงานและคุณภาพรายงานของผมก่อนตัดสินใจงานหลักหมื่น ซึ่งเป็นการใช้ที่ผมตั้งใจให้ใช้
ลองดูของจริง
เครื่องสแกนตัวนี้ฟรีและใครก็กดใช้ได้ ตรวจจากภายนอกล้วนๆ ไม่แตะข้างในเว็บคุณ สิ่งที่แพ็กนี้เพิ่มให้คือรายงานฉบับเต็มในแท็บที่สอง ซึ่งจัดอันดับความรุนแรง บอกวิธีแก้ทีละจุด และมีบทสรุปสองแบบทั้งสำหรับคนและสำหรับช่าง แทนที่จะโชว์ให้ดูสามข้อแล้วล็อกที่เหลือ
สองหน้านี้เปิดใช้งานอยู่จริงบนเว็บนี้ ไม่ใช่ภาพจำลอง กดใช้ได้เลยจากในกรอบ
สิ่งที่คุณจะได้ ทั้งหมด
รายการนี้คือขอบเขตงานทั้งหมดของแพ็กเกจนี้ ไม่มีข้อไหนซ่อนไว้ในสัญญา
- สแกนช่องโหว่ตาม OWASP Top 10
- ตรวจ SSL, security headers และการตั้งค่าที่เปิดช่องไว้
- ตรวจความเร็วหน้าหลักบนมือถือและเดสก์ท็อป
- รายงาน PDF จัดอันดับความรุนแรง พร้อมวิธีแก้ทีละจุด
- การตรวจระบบที่ผมไม่ได้รับอนุญาตเป็นลายลักษณ์อักษรจากเจ้าของ ผมขอเอกสารยืนยันก่อนเริ่มทุกครั้ง ไม่มีข้อยกเว้น
- การรับประกันว่าจะไม่ถูกเจาะอีกเลย ไม่มีใครรับประกันข้อนี้ได้จริง สิ่งที่ทำได้คือปิดช่องที่พบและลดพื้นที่เสี่ยงลง
- ค่าบริการภายนอกที่อาจต้องใช้ เช่น ใบรับรอง SSL หรือ WAF ถ้าจำเป็นผมแจ้งราคาให้ทราบก่อนเสมอ และนี่ไม่ใช่ค่าของผม
- การกู้คืนระบบที่ถูกเจาะไปแล้ว เป็นงานคนละแบบ แจ้งมาได้ ผมประเมินให้แยกต่างหาก
คำถามที่พบบ่อยของแพ็กเกจนี้
สแกนแล้วเว็บจะล่มไหม
ไม่ล่มครับ แพ็กนี้เป็นการตรวจจากภายนอกแบบไม่รบกวน คือดูสิ่งที่เว็บคุณเปิดเผยออกมาอยู่แล้ว ไม่ยิงของหนักและไม่พยายามเจาะเข้าไป ถ้าคุณมีช่วงเวลาที่ห้ามมีทราฟฟิกเพิ่ม บอกมาผมเลี่ยงให้
ต่างจากเครื่องสแกนฟรีบนหน้าเว็บนี้ยังไง
เครื่องฟรีตรวจชุดเดียวกันในระดับผิว โชว์ผลให้ดูสามข้อแล้วล็อกที่เหลือ ส่วนแพ็กนี้ตรวจครบทุกข้อ จัดอันดับความรุนแรงตามผลกระทบกับธุรกิจคุณจริงๆ และเขียนวิธีแก้ทีละจุดให้ช่างของคุณทำตามได้เลย กดลองเครื่องฟรีในตัวทดลองบนหน้านี้ได้เลยก่อนตัดสินใจ
เจอช่องโหว่แล้วต้องจ้างแก้ต่อไหม
ไม่ต้องครับ รายงานเขียนให้ช่างคนไหนก็ทำตามได้ ไม่ได้เขียนให้ผมคนเดียวทำได้ ถ้าคุณมีทีมอยู่แล้วส่งให้เขาแก้ได้เลย หรือถ้าอยากให้ผมแก้ให้ก็มีแพ็ก Fix แต่ไม่ได้บังคับและผมไม่ได้ตั้งใจให้รายงานเป็นเครื่องมือขายของ
ต้องเซ็นเอกสารอะไรก่อนไหม
ต้องครับ ผมขอเอกสารยืนยันสิทธิ์เป็นลายลักษณ์อักษรก่อนเริ่มเสมอ ไม่มีข้อยกเว้นแม้แต่กรณีที่รู้จักกันดี เพราะการตรวจระบบที่ไม่ได้รับอนุญาตผิดกฎหมาย และเอกสารนี้คุ้มครองทั้งคุณและผม
ข้อมูลที่เจอจะรั่วไปไหนไหม
ไม่ครับ รายงานส่งเฉพาะคนที่คุณระบุ ผมไม่เอาไปทำกรณีศึกษาโดยไม่ขออนุญาต และถ้าคุณอนุญาตให้ใช้ ผมปิดชื่อกับที่อยู่เว็บทั้งหมด ตัวอย่างรายงานที่เปิดให้ดูบนเว็บนี้เป็นข้อมูลสมมติทั้งฉบับ