Agen keamanan yang memeriksa situs Anda dan bertanya sebelum memperbaiki

Apa yang diperiksa Security agent

Sebagian besar pemeriksaan dilakukan oleh pemeriksaan bawaan Briks, yang membaca situs Anda dengan cara yang sama setiap kali dan tidak memakai kredit. Agen kemudian hanya membaca bagian yang ditunjuk pemeriksaan, memutuskan apakah suatu temuan nyata, dan menjelaskannya kepada Anda.

Di kode situs Anda, agen mencari kunci yang tertulis di dalam file, perubahan pada data Anda tanpa batas seberapa sering bisa dilakukan, data anggota yang dibaca tanpa memeriksa siapa yang meminta, teks yang ditampilkan sebagai HTML mentah, dan panggilan ke website lain. Untuk kunci, agen membandingkan nama yang dibaca kode Anda dengan nama yang diatur di Settings → Secrets, dua arah, dan tidak pernah melihat nilainya.

Pada situs yang sudah live, ia memeriksa apakah setiap alamat menjawab lewat https, berapa hari sisa masa berlaku sertifikat, header keamanan, dan file yang seharusnya tidak pernah bisa diunduh. Ia juga memeriksa file di penyimpanan publik dengan nama yang tampak pribadi, seperti invoice atau passport, lonjakan mendadak isian formulir, dan pemberitahuan kerentanan yang diketahui untuk paket tambahan di situs Anda di luar yang dimiliki setiap situs sejak awal.

Untuk situs dengan akun atau pembayaran di kodenya, agen menghitung siapa yang memegang Admin atau Staff, dan memeriksa pengaturan pembayaran: mode uji atau live, rahasia webhook, dan pesanan yang tidak cocok dengan pembayaran.

Setiap temuan dalam kata-kata biasa, dengan satu langkah berikutnya

Temuan dikelompokkan menurut tingkat keseriusannya: mendesak, tinggi, sedang, dan rendah. Setiap temuan menyebutkan apa yang bisa dilakukan seseorang, artinya bagi bisnis Anda, dan apa yang perlu dilakukan berikutnya.

Langkah berikutnya ada tiga pilihan: sesuatu yang hanya bisa Anda lakukan, beserta tempat melakukannya, misalnya menambahkan kunci di Settings → Secrets, yang tidak dikenai biaya; perbaikan yang bisa dibuat Builder, di balik Fix it; atau Accept the risk, untuk hal yang sudah Anda putuskan untuk dibiarkan.

Temuan mendesak, seperti kunci yang tertulis di halaman atau file pribadi yang bisa diunduh siapa saja, langsung sampai kepada Anda: di bell, dan di Telegram jika sudah Anda hubungkan dan Anda aktifkan temuan keamanan mendesak. Sisanya menunggu laporan mingguan.

Fix selalu menunggu persetujuan Anda

Fix it menampilkan biaya umum sebuah perubahan dalam kredit, lalu mengirim perbaikannya ke Waiting, email Anda, dan chat Anda, seperti setiap perubahan yang diminta agen. Baca, ubah kata-katanya, setujui, atau tolak.

Setelah Anda menyetujui, Builder membuat perubahan, memeriksanya, dan mempublikasikannya sebagai versi baru yang bisa dibatalkan. Saat versi itu tayang, pemeriksaan dijalankan lagi, dan temuan ditandai selesai diperbaiki setelah tidak ada lagi.

Perbaikan keamanan tidak pernah berjalan sendiri. Agen lain bisa mendapat hak bertindak sendiri setelah lima persetujuan bersih untuk satu jenis tindakan; agen ini tidak bisa, dan pengaturannya menyatakan hal itu di tempat agen lain memiliki saklarnya.

Terima risikonya sekali, dan tetap diterima

Beberapa temuan berasal dari sesuatu yang Anda pilih. Agen tidak pernah mengusulkan untuk membatalkan apa yang Anda minta: ia menyebutkan sekali apa risikonya, dan keputusan ada di tangan Anda.

Accept the risk menyimpan pilihan Anda beserta nama dan tanggalnya, dan agen tidak mengangkatnya lagi kecuali masalahnya memburuk.

Yang tidak pernah dilakukannya

Agen ini tidak pernah mengubah situs Anda sendiri, dan tidak pernah meminta, membaca, atau mengulang nilai sebuah kunci: ia hanya bekerja dengan nama kunci.

Ia tidak pernah mencoba menerobos masuk. Pada situs yang sudah live, ia hanya membuat permintaan biasa seperti yang dibuat browser pengunjung, paling banyak 25 dalam satu pemeriksaan, ke alamat situs Anda sendiri. Ia menghitung catatan pelanggan Anda, bukan membacanya satu per satu.

Kapan berjalan, dan berapa biayanya

Setelah setiap publikasi, pemeriksaan kode dan kunci dijalankan pada versi yang baru tayang, tanpa biaya. Agennya sendiri baru bangun saat pemeriksaan menemukan sesuatu yang baru, atau saat perbaikan yang diminta sudah tayang dan perlu dicek.

Setiap Senin pukul 07:00 sesuai zona waktu ruang kerja Anda, agen menjalankan seluruh pemeriksaan, termasuk situs yang tayang, lalu menulis laporan singkat. Agen juga menjawab saat Anda menulis kepadanya di utasnya.

Yang dipakai adalah kerja membaca dan menulis untuk menjelaskan temuan dan merumuskan perbaikan, dibayar dari kredit ruang kerja Anda dalam anggaran bulanannya sendiri: 20 kredit secara default. Agen meminta paling banyak dua perbaikan dalam satu proses, yang paling serius lebih dulu, dan tiap perbaikan adalah perubahan biasa dengan perkiraan kreditnya sendiri.