Esta tradução ainda não foi revista editorialmente. A versão alemã é vinculativa. Versão alemã →
Estado do software
Estado de Software: O que seu site revela sobre si mesmo
Software Obsoleto é a causa mais comum de intrusão na web – e um site revela mais sobre o seu status de fora do que a maioria dos operadores estão cientes. Nós avaliamos o que sua página revela: sistema usado, extensões, bibliotecas frontend e assinaturas de versão. Sem dados de acesso, sem varredura, sem uma única recuperação adicional.
- Software- v1, puramente passivoO âmbito e as regras estão no relatório, reconhecíveis.
- Teste humanoDecisões claras no padrão ouro: casos disputados julgar uma pessoa.
- RastreávelQualquer achado, incluindo sua lógica, fonte e referência.
- Publicamente verificáveisSobre verificar ID, código QR e uma página de verificação aberta.
O que é especificamente examinado
- Sistema e versão reconhecidos (WordPress, Joomla, Drupal, TYPO3, Contao, Shopware, Magento, PrestaShop, OXID, OpenCart, phpBB, Moodle e outros)
- Extensões e temas, incluindo a versão, na medida em que se tornem visíveis em caminhos de ativos
- Bibliotecas Frontend com fim de manutenção publicado (por exemplo jQuery 1.x/2.x, AngularJS, Bootstrap 3/4, Vue 2)
- Assinaturas de versões em cabeçalhos de resposta (servidor, X-Powered- By e relacionados)
- Kits hospedados (Shopify, Wix, Squarespace, Webflow, Jimdo) são reconhecidos como provedores mantidos e não defeituosos
É assim que eles criam a sua parte
- Prova de domínioEntrada ou arquivo DNS TXT no caminho.well-known.
- Seleccionar o âmbitoDe lado cambaleia, até os lados 1.000.
- Teste automáticoTudo tecnicamente decisivo é medido.
- Acórdão de verificaçãoCasos controversos são julgados por uma pessoa, pelo padrão ouro.
- selo parcialDe 90 de 100 pontos nesta área de ensaio.
Por que não queremos dados de acesso – e o que isso significa para a declaração
Outros provedores exigem acesso FTP ou banco de dados para criar um inventário completo. Não o fazemos deliberadamente: Nossos regulamentos de teste concordam em trabalhar exclusivamente passivamente e ler. Um auditor que recolhe dados de acesso ao servidor é em si um risco – e um selo baseado no acesso interno não pode ser rastreado a partir do exterior.
O preço desta atitude é a honestidade sobre a fronteira: reconhecível de fora é sempre apenas parte do software instalado. Um resultado de 100 significa, portanto, “nada desvantajoso é reconhecível do exterior” – não “a instalação é segura”. Se você precisar de um inventário completo, é melhor instalar sua própria ferramenta em seu ambiente em vez de entregar dados de acesso.
O resultado: um selo parcial verificável
Se seu site atingir o valor alvo nesta área de teste, você receberá um selo parcial com seu próprio ID de teste e uma página de verificação pública com resultado, data de teste e validade. Como o teste procede é em Procedimento de ensaio, as condições Preços.
Tópicos em detalhe
10 páginas ao longo das diretrizes do regulamento, cada uma com os postos de controle associados e perguntas próprias.
- Bibliotheken ohne Herstellerpflege: der einzige schwere Befund
- Die Versionsnummer des Systems: warum sie nicht nach außen gehört
- Erweiterungen und ihre Versionen: das größere Angriffsfeld
- Antwort-Kopfzeilen: welche Software der Server von sich erzählt
- Nichts erkennbar heißt nicht sicher
- Passive Erkennung: kein einziger zusätzlicher Abruf
- Welche Systeme erkannt werden — und woran
- Warum dieser Prüfbereich nie „kritisch" meldet
- Die Gewichtung: warum eine Regel doppelt so viel zählt wie die anderen
- Kein Sicherheitsscan: was dieser Prüfbereich bewusst auslässt
Como se parece um resultado
Cada critério recebe exatamente um de três julgamentos. Aplica-se um critério: nunca só por essa razão como cumprida Porque a medição não encontrou nada.
- Realizado: comprovada, com documentos comprovativos
- Ainda aberto: à espera de um julgamento examinador
- Ainda por cumprir: Referência, regra e medida designada
Um selo parcial é criado 90 de 100 pontos nesta área de teste.
Nosso próprio site está chegando aqui 70 de 100.
É bom saber
- Puramente passivo: sem varredura, sem acesso, sem acesso adicional.
- Relatamos falta de cuidado do fabricante e versões visíveis — não vulnerabilidade.
- Se nada é reconhecido, isso significa explicitamente "nenhuma prova" - sem carta branca.
