# Kiểm tra bảo mật website trong chưa đầy một phút.

Kiểm tra bảo mật website cho doanh nghiệp nhỏ. Kiểm tra HTTPS, header bảo mật, bản ghi email và công cụ theo dõi, rồi tải về PDF kèm cách khắc phục.

## Công cụ kiểm tra bảo mật website kiểm tra những gì?

Lần quét chạy 28 hạng mục trên trang chủ của bạn. Phạm vi gồm HTTPS và chuyển hướng, header bảo mật, cookie, bản ghi email và DNS, tập lệnh bên thứ ba, công cụ theo dõi và thư viện lỗi thời. Mỗi kết quả cho biết cần sửa gì, nên xem kỹ gì và điều gì chúng tôi không kiểm tra được.

### Kết nối HTTPS

Website có phản hồi được mã hóa và yêu cầu trình duyệt tiếp tục dùng HTTPS không?

### Bảo vệ trình duyệt

Trang web có chặn được tập lệnh lạ, ngăn trang khác nhúng trang của bạn và ngăn trình duyệt đoán loại tệp không?

### Cookie, theo dõi và phần mềm

Chúng tôi kiểm tra thiết lập cookie, công cụ theo dõi tải trước khi khách đồng ý, thư viện JavaScript lỗi thời và phiên bản phần mềm mà trang web để lộ.

## Tận dụng tốt hơn kiểm tra bảo mật website

### Kiểm tra bảo mật website cho biết điều gì

Kiểm tra bảo mật website cho thấy các thiết lập mà trang chủ gửi tới mọi khách truy cập. Chúng tôi kiểm tra HTTPS, header bảo mật, cookie, bản ghi email, công cụ theo dõi và phần mềm mà trang web để lộ. Dùng kết quả kiểm tra bảo mật website để chuẩn bị câu hỏi cho nhà phát triển và lưu lại một mốc có ngày trước khi thay đổi.

### Đọc kết quả kiểm tra bảo mật website

Kiểm tra bảo mật website chia kết quả thành việc cần nhà cung cấp hosting xem gấp, thiết lập cần sửa và lựa chọn tùy vào cách trang web hoạt động. Thiếu một header tùy chọn không phải là dấu hiệu bị tấn công. Điểm trong kiểm tra bảo mật website từ 0 đến 100 và đếm các hạng mục đạt. Màu sắc cho biết nên xem gì trước.

### Trước và sau kiểm tra bảo mật website

Hãy kiểm tra bảo mật website trước khi đổi hosting hoặc thiết lập bảo mật để có mốc so sánh. Xem lại trang thanh toán, đăng nhập và dịch vụ nhúng trước khi siết quy tắc. Sau đó, kiểm tra bảo mật website lần nữa, so sánh với báo cáo cũ và thử trang trong trình duyệt thật. Giữ việc cập nhật phần mềm và bảo mật tài khoản trong lịch bảo trì thường xuyên.

### Chia sẻ kiểm tra bảo mật website với nhà phát triển

Kết quả kiểm tra bảo mật website dễ áp dụng hơn khi người làm việc đó xem được. Tải PDF về hoặc gửi liên kết báo cáo cho nhà phát triển. Mỗi báo cáo đều ghi thời điểm quét. Chủ sở hữu website cũng có thể công khai báo cáo sau khi chứng minh họ kiểm soát website.

## Câu hỏi về bảo mật website

### Kiểm tra bảo mật website có chứng minh website an toàn không?

Không. Công cụ kiểm tra một nhóm thiết lập công khai. Nó không thể tìm ra mọi lỗ hổng, phần mềm độc hại, lỗi lập trình hay tài khoản bị xâm nhập. Một đợt kiểm tra bảo mật đầy đủ đi xa hơn nhiều.

### Kiểm tra bảo mật website có ảnh hưởng website không?

Gần như không. Lần quét tra cứu bản ghi DNS, yêu cầu trang chủ qua HTTPS và HTTP thường, đi theo tối đa năm lần chuyển hướng, đọc security.txt và tải trang chủ một lần trong trình duyệt đám mây. Nó không vào trang khác, không gửi biểu mẫu, không đăng nhập và không thử tấn công. Nếu trang web chặn lần quét, kết quả sẽ không đầy đủ.

### Vì sao kiểm tra bảo mật website giới hạn hai lần mỗi ngày?

Giới hạn này giúp công cụ luôn miễn phí và tránh tạo lưu lượng không cần thiết đến các trang web.

### Màu sắc kiểm tra bảo mật website có ý nghĩa gì?

Đỏ nghĩa là nhà cung cấp hosting cần kiểm tra gấp một điều gì đó, ví dụ phiên bản PHP cũ có lỗ hổng nghiêm trọng đã biết. Cam nghĩa là cần sửa một thiết lập. Xanh dương nghĩa là nên xem kỹ hơn. Xanh lá nghĩa là hạng mục đạt. Xám nghĩa là chúng tôi không kiểm tra được. Không màu nào có nghĩa là trang web của bạn đã bị tấn công.

### Kiểm tra bảo mật website có phát hiện PHP2Shell không?

Công cụ có thể cảnh báo phiên bản PHP cũ hơn các bản đã vá. Header phiên bản có thể sai, bị ẩn hoặc bị sửa, và một số nhà cung cấp vá cả phiên bản cũ. Hãy nhờ nhà cung cấp hosting xác nhận phiên bản PHP đã cài và các bản vá. Chúng tôi không bao giờ gửi yêu cầu tấn công. Không thấy header PHP không có nghĩa là không có PHP hoặc PHP đã được vá.

### Vì sao kiểm tra bảo mật website đánh dấu tiêu đề phần mềm?

Số phiên bản giúp kẻ xấu dễ tìm các trang chạy phần mềm có lỗ hổng. Hãy gỡ chúng khi có thể. Ẩn đi không sửa được gì, nên hãy luôn cập nhật chính phần mềm.

### Cần làm gì sau kiểm tra bảo mật website?

Bắt đầu với các mục màu đỏ, sau đó xem các mục màu cam cùng nhà phát triển hoặc nhà cung cấp hosting. Thử thay đổi header trước khi đưa lên trang thật, vì quy tắc quá chặt có thể làm hỏng thanh toán, biểu mẫu và nội dung nhúng. Tải PDF về để chia sẻ kết quả. Mecanik Dev có thể giúp bạn chọn cách sửa phù hợp và thực hiện.

### Kết quả kiểm tra bảo mật website có công khai không?

Không. Các lần quét là riêng tư. Chỉ chủ sở hữu website mới có thể công khai báo cáo, sau khi chứng minh họ kiểm soát website bằng bản ghi DNS hoặc một tệp. Bạn vẫn có thể chia sẻ liên kết riêng tư hoặc tệp PDF. Không cần tài khoản hay email.

## Các kiểm tra trong báo cáo

### Kết nối được mã hóa

HTTPS mã hóa dữ liệu giữa trang web và khách truy cập. Điều này cho thấy trình quét đã kết nối an toàn. Phần còn lại của trang web không được kiểm tra.

### Chuyển HTTP thường sang HTTPS

Người gõ địa chỉ không có https:// nên được đưa thẳng tới trang an toàn. Sau đó HSTS giữ trình duyệt của họ ở HTTPS.

### Giữ khách truy cập trên HTTPS

Đặt Strict-Transport-Security với max-age ít nhất sáu tháng. Kiểm tra các tên miền phụ trước khi thêm includeSubDomains hoặc preload.

### Kiểm soát nội dung được chạy

Content-Security-Policy quy định tập lệnh và nội dung nào trang được phép tải. Quy tắc phù hợp tùy vào từng trang, và thiếu chính sách tự nó không phải là lỗ hổng. Nếu trang đặt chính sách trong HTML, bước kiểm tra bằng trình duyệt sẽ đọc nó. Chính sách report-only không chặn gì cả.

### Ngăn nhúng nội dung gây hiểu nhầm

Dùng CSP frame-ancestors hoặc X-Frame-Options, và chỉ cho phép những trang thật sự cần nhúng trang của bạn.

### Ngăn trình duyệt đoán loại tệp

Đặt X-Content-Type-Options thành nosniff để trình duyệt xử lý mỗi tệp đúng loại mà máy chủ khai báo.

### Hạn chế thông tin gửi tới website khác

Một Referrer-Policy rõ ràng giúp hành vi minh bạch. Trình duyệt hiện đại đã giới hạn điều này theo mặc định, nên thiếu header không có nghĩa là dữ liệu bị rò rỉ.

### Hạn chế tính năng trình duyệt nhạy cảm

Permissions-Policy có thể tắt camera, micro và vị trí cho trang của bạn. Thiết lập phù hợp tùy vào chức năng của trang.

### Thông tin X-Powered-By

Gỡ thông tin môi trường chạy khi có thể. Trang sẽ khó bị nhận diện hơn, nhưng bạn vẫn cần cập nhật phần mềm.

### Phiên bản máy chủ bị lộ

Hãy nhờ nhà cung cấp hosting ẩn số phiên bản và cập nhật máy chủ. Tên máy chủ không kèm phiên bản là ổn.

### Kiểm tra bản vá PHP

PHP2Shell là tên gọi của hai lỗ hổng nghiêm trọng trong chính PHP. Header chỉ báo một phiên bản, có thể sai hoặc không phản ánh các bản vá mà nhà cung cấp đã áp dụng. Hãy nhờ họ đối chiếu phiên bản đã cài với các cảnh báo bảo mật PHP hiện hành. Ẩn header không sửa được gì.

### Cookie chỉ qua HTTPS

Secure nghĩa là cookie chỉ được gửi qua HTTPS. Chúng tôi chỉ thấy cookie do phản hồi của trang chủ đặt. Cookie đặt sau khi đăng nhập hoặc bởi tập lệnh không được tính, và giá trị cookie không bao giờ xuất hiện trong báo cáo.

### Bảo vệ cookie phiên đăng nhập

HttpOnly ngăn tập lệnh trên trang đọc cookie. Chúng tôi đoán cookie phiên dựa vào tên, nên hãy nhờ nhà phát triển xác nhận.

### Quy tắc cookie liên trang

SameSite quyết định khi nào cookie được gửi kèm yêu cầu từ trang khác. None có thể đúng với một số tích hợp, và trình duyệt dùng giá trị mặc định khi thiếu.

### Truy cập khác nguồn

CORS thường cần cho API và tệp dùng chung. Chỉ ký tự đại diện thôi thì không làm lộ dữ liệu riêng tư. Bước kiểm tra trang chủ này không biết được API có tin mọi nguồn hay không.

### Cách ly cửa sổ trình duyệt

COOP tách trang khỏi các cửa sổ do trang khác mở. Cửa sổ thanh toán và đăng nhập có thể cần thiết lập lỏng hơn. Chỉ thiếu COOP thì trang chưa hẳn bị tấn công được.

### Quy tắc nhúng tài nguyên

Cross-Origin-Resource-Policy quyết định trang nào được nhúng tệp của bạn. Ảnh công khai và tệp dùng chung có thể cần để mở. Hầu hết các trang không cần nó.

### Chính sách người gửi email (SPF)

SPF giúp máy chủ thư từ chối email giả mạo gửi dưới tên miền của bạn. Nếu tên miền không bao giờ gửi email, hãy công bố v=spf1 -all. Chúng tôi kiểm tra tên miền chính.

### Chính sách chống giả mạo email (DMARC)

DMARC cho máy chủ thư biết phải làm gì với email không qua được SPF và DKIM. Bắt đầu ở chế độ giám sát, đọc báo cáo, rồi chuyển sang quarantine hoặc reject.

### Quy tắc tổ chức cấp chứng chỉ (CAA)

Bản ghi CAA liệt kê các tổ chức được phép cấp chứng chỉ cho tên miền. Chúng giảm rủi ro chứng chỉ bị cấp nhầm. Hãy liệt kê mọi nhà cung cấp bạn dùng.

### DNS có chữ ký (DNSSEC)

DNSSEC giúp trình phân giải phát hiện phản hồi DNS giả. Hãy bật cùng lúc ở nhà cung cấp DNS và nhà đăng ký, vì cấu hình sai có thể làm tên miền ngừng hoạt động.

### Liên hệ bảo mật (security.txt)

Công bố /.well-known/security.txt với Contact và Expires để người phát hiện sự cố biết cách liên hệ với bạn.

### Tài nguyên trang không an toàn

Tệp không an toàn có thể bị sửa trên đường truyền, và trình duyệt có thể chặn chúng làm hỏng trang. Hãy chuyển các địa chỉ này sang HTTPS. Chúng tôi chỉ kiểm tra trang chủ.

### Dịch vụ bên thứ ba

Mỗi tập lệnh hoặc dịch vụ bên ngoài đều thấy được khách truy cập và có thể thay đổi trang. Giữ danh sách ngắn, gỡ những gì không còn dùng và xem mỗi nhà cung cấp nhận được gì. Dùng dịch vụ bên ngoài tự nó không phải là lỗ hổng.

### Theo dõi trước khi đồng ý

Các luật như GDPR thường yêu cầu sự đồng ý trước khi theo dõi không thiết yếu. Trình quét tải trang một lần từ máy chủ của chúng tôi và không chấp nhận gì. Công cụ quản lý đồng ý có thể hoạt động khác theo quốc gia, nên hãy kiểm tra cả thiết lập của bạn.

### Thư viện JavaScript lỗi thời

Chúng tôi nhận ra jQuery, jQuery UI, Bootstrap, AngularJS, Lodash và Moment.js khi chúng hiện phiên bản. Hãy cập nhật thư viện bị ảnh hưởng, hoặc giao diện hay plugin chứa nó, rồi kiểm tra lại trang.

### Kiểm tra toàn vẹn tập lệnh

Subresource Integrity cho phép trình duyệt từ chối bản sao đã bị sửa của tệp tập lệnh. Cách này dùng được cho tệp có phiên bản từ CDN. Nó không hợp với tập lệnh thay đổi có chủ đích như trình quản lý thẻ.

### Phiên bản nền tảng website

Thẻ generator có số phiên bản khiến trang dễ trở thành mục tiêu của tấn công tự động. Hãy gỡ nó khi có thể và cập nhật nền tảng, giao diện và plugin. Ẩn phiên bản không sửa được gì.

## Thông báo quyền riêng tư

Để ngăn lạm dụng và trả lời khiếu nại hoặc yêu cầu pháp lý, Mecanik Dev Ltd lưu một bản ghi cho mỗi lần quét. Bản ghi gồm trang web, thời điểm, phiên bản thông báo, địa chỉ IP của bạn, thông tin trình duyệt và thiết bị của bạn, cùng vị trí gần đúng suy ra từ địa chỉ IP. Chúng tôi giữ các bản ghi này trong 30 ngày rồi xóa. Chúng tôi không dùng chúng cho tiếp thị và chỉ chia sẻ khi pháp luật yêu cầu.

Nhà cung cấp lưu trữ và bảo mật của chúng tôi xử lý địa chỉ IP của bạn để vận hành dịch vụ và bước kiểm tra chống bot, và tự lưu nhật ký của mình. Đồng ý quét không có nghĩa là đồng ý nhận tiếp thị. Trình duyệt của bạn tự tạo tệp PDF.

Xem chính sách bảo mật chính để biết thông tin liên hệ bên kiểm soát, quyền dữ liệu và các nhà cung cấp dịch vụ.

Nếu bạn công khai báo cáo, chúng tôi lưu tên miền, thời gian quét và kết quả tối đa 90 ngày. Danh mục công khai hiển thị báo cáo mới nhất của mỗi trang web. Lần quét riêng tư không bao giờ được lưu ở đó. Báo cáo công khai trước đó vẫn hiển thị cho đến khi hết hạn hoặc bị gỡ. Báo cáo công khai không bao giờ chứa địa chỉ IP, thông tin trình duyệt, dữ liệu cho phép hay giá trị cookie của khách truy cập.

Lựa chọn giao diện được lưu trong trình duyệt. Báo cáo hiện tại được giữ trong bộ nhớ phiên của thẻ này để đổi ngôn ngữ mà không cần kiểm tra lại. Xóa bộ nhớ trình duyệt để xóa lựa chọn và kết quả đã lưu.