דלגו לתוכן הראשי

PyMaster

סורק האבטחה של PyMaster

אם מצאתם את סוכן המשתמש הזה ביומני השרת שלכם, הדף הזה מסביר מה הוא:

PyMasterSecurityScan/1.0

מה זה

PyMasterSecurityScan הוא כלי אוטומטי לניטור אבטחת אתרים שמפעילה PyMaster. הוא בודק אתרים לאיתור חולשות אבטחה נפוצות (כותרות אבטחה חסרות, בעיות בתעודות, קבצים חשופים) ומדווח עליהן לבעל האתר.

מי נסרק

אנחנו סורקים רק דומיינים שבעליהם התקשרו עם PyMaster לניטור אבטחה. איננו סורקים את האינטרנט באופן כללי, או אתר כלשהו שאין לנו הסכם איתו.

דומיינים בהתקשרות נסרקים בדרך כלל בערך פעם בשבוע, ובנוסף סריקות לפי דרישה של בעל האתר.

מה נבדק

  1. בדיקות בסיסיות, לכל דומיין בהתקשרות:

    טעינה אחת של דף הבית לבדיקת כותרות האבטחה, לחיצת יד TLS ‏(HTTPS) לבדיקת התעודה, וחיפוש ביומני שקיפות תעודות ציבוריים ובאינדקסים של מנועי חיפוש. שתי האחרונות אינן פונות לשרת שלכם כלל.

  2. בדיקות מורשות, רק לאחר שבעל האתר חתם על כללי התקשרות (Rules of Engagement) בכתב:

    סקירת קובצי ה-JavaScript של האתר עצמו לאיתור מפתחות שדלפו ומפות מקור (source maps) חשופות לציבור.

  3. בדיקות נתיבים ונקודות קצה, רק לאחר חתימה על כללי ההתקשרות וגם הוכחת שליטה בדומיין (רשומת DNS או קובץ באתר):

    בקשה של רשימה קבועה של נתיבים שנחשפים לעתים קרובות (כמו ‎/.env‎ או קובצי גיבוי), ובדיקת נקודות קצה של WordPress ו-API שנוטות לדלוף מידע. בבדיקת קבצים חשופים הסורק בודק רק את קוד התגובה ולעולם אינו מוריד את תוכנם.

מה הוא לעולם לא עושה

הוא אינו מנצל חולשות, אינו מנסה להתחבר או לנחש סיסמאות ואינו שולח תעבורה בנפח גבוה. הבקשות נשלחות במקביליות נמוכה ועם מגבלות זמן קפדניות, והוא מסרב להתחבר לכתובות רשת פרטיות או פנימיות.

דיווח על בעיה או בקשת הפסקה

אם אתם רואים את הסורק הזה באתר בבעלותכם ולא התקשרתם עם PyMaster, או שאתם רוצים שיפסיק, פנו אלינו עם שם הדומיין והשעה המשוערת. נבדוק את העניין ונפסיק לסרוק את הדומיין.