เอเจนต์ตรวจสอบความปลอดภัย
เอเจนต์ตรวจสอบความปลอดภัยดูแลความปลอดภัยของโปรเจกต์คุณ โดยตรวจโค้ดของเว็บไซต์หลังการเผยแพร่ทุกครั้งและตรวจทั้งเว็บไซต์ทุกสัปดาห์ บอกคุณด้วยคำง่าย ๆ ว่าพบอะไรและควรทำอะไรต่อ และขอให้ Builder แก้ไขสิ่งที่คุณอนุมัติ เอเจนต์ไม่เคยเปลี่ยนแปลงเว็บไซต์ของคุณเองและไม่เคยเห็นค่าของคีย์
สิ่งที่ตรวจ
สิ่งที่ตรวจส่วนใหญ่ทำโดยการตรวจของ Briks เอง ซึ่งอ่านเว็บไซต์ของคุณแบบเดิมทุกครั้งและไม่เสียเครดิต จากนั้นเอเจนต์จะอ่านเฉพาะจุดที่การตรวจชี้ไป ตัดสินว่าสิ่งที่พบเป็นจริงหรือไม่ และอธิบายให้คุณฟัง
| ส่วน | สิ่งที่ถูกตรวจ |
|---|---|
| โค้ดของเว็บไซต์คุณ | คีย์ที่เขียนไว้ในไฟล์ การเปลี่ยนแปลงข้อมูลของคุณที่ไม่จำกัดจำนวนครั้ง การอ่านบันทึกของสมาชิกโดยไม่ตรวจว่าใครเป็นผู้ขอ ข้อความที่แสดงเป็น HTML ดิบ การเรียกไปยังเว็บไซต์อื่น และเส้นทางที่ไม่อยู่ในรายการของเว็บไซต์เองว่าใครใช้แต่ละเส้นทางได้ |
| คีย์ | ทุกคีย์ที่โค้ดของคุณอ่านแต่ยังไม่ได้ตั้งค่าใน Settings → Secrets และทุกคีย์ที่ตั้งไว้ที่นั่นแต่ไม่มีอะไรอ่านอีกแล้ว เป็นชื่อเท่านั้น เอเจนต์ไม่เคยเห็นค่า |
| เว็บไซต์ที่เผยแพร่แล้ว | ทุกที่อยู่ตอบกลับผ่าน https และ http ธรรมดาถูกส่งต่อไปที่นั่นหรือไม่ ใบรับรองเหลืออีกกี่วัน security header คุกกี้การเข้าสู่ระบบ เว็บไซต์อื่นใช้ API ของเว็บไซต์คุณในฐานะผู้เข้าชมที่ลงชื่อเข้าใช้ได้หรือไม่ ไฟล์ที่ไม่ควรดาวน์โหลดได้เลย และหน้าข้อผิดพลาดที่เผยการทำงานภายในของเว็บไซต์ |
| อีเมล | สำหรับโดเมนที่คุณส่งอีเมลเอง: เรกคอร์ด SPF, การลงนาม (DKIM) และ DMARC |
| ไฟล์และฟอร์ม | ไฟล์ในโฟลเดอร์ Storage สาธารณะที่ชื่อดูเป็นส่วนตัว เช่น backup, invoice, passport หรือ contract และการกรอกฟอร์มที่พุ่งขึ้นอย่างฉับพลันเมื่อเทียบกับวันปกติ |
| แพ็กเกจ | ประกาศความปลอดภัยที่ทราบแล้วของแพ็กเกจที่เว็บไซต์คุณมีเพิ่มเติมจากชุดที่ทุกเว็บไซต์มีตั้งแต่ต้น จากฐานข้อมูลประกาศสาธารณะ |
| มองให้ละเอียดขึ้น | เดือนละครั้ง เอเจนต์จะอ่านส่วนของเว็บไซต์ที่จัดการการเข้าสู่ระบบ เงิน ไฟล์ที่อัปโหลด หรือฟีเจอร์ AI โดยเริ่มจากส่วนที่เปลี่ยนไปนับจากครั้งก่อนที่ตรวจ |
เวลาที่ทำงาน
- หลังการเผยแพร่ทุกครั้ง การตรวจโค้ดและคีย์จะรันกับเวอร์ชันที่เพิ่งออนไลน์ตามที่บันทึกไว้ ทันทีและไม่เสียค่าใช้จ่าย ตัวเอเจนต์เองจะทำงานเฉพาะเมื่อการตรวจพบสิ่งใหม่ หรือเมื่อการแก้ไขที่ขอไว้ออนไลน์แล้วและต้องตรวจสอบ
- ทุกสัปดาห์ ตอนเช้าวันจันทร์ตามเขตเวลาของเวิร์กสเปซคุณ: ตรวจครบทุกรายการ รวมถึงเว็บไซต์ที่ออนไลน์อยู่ พร้อมรายงานสั้น ๆ
- When you write to it ในเธรดของมัน เช่น เพื่อถามว่าฟอร์มใหม่ปลอดภัยพอที่จะนำขึ้นใช้งานจริงหรือไม่
ข้อค้นพบเร่งด่วน เช่น คีย์ที่เขียนอยู่ในหน้า หรือไฟล์ส่วนตัวที่ใครก็ดาวน์โหลดได้ จะแจ้งคุณทันที: ที่ระฆัง และในแชต Telegram ของคุณที่เปิด Urgent security findings ไว้ในการแจ้งเตือน
การอ่านรายงาน
หารายงาน
เปิด Agents
ที่ไหน: Agents
เลือกโปรเจกต์ แล้วเลือกเอเจนต์ Security ในแท็บ Crew
เปิดแท็บ Security report
ที่ไหน: Security report
ข้อค้นพบถูกจัดกลุ่มตามความร้ายแรง: Urgent, High, Medium และ Low ตัวเลขบนแท็บคือจำนวนที่รอคุณอยู่
อ่านข้อค้นพบแต่ละรายการ
แต่ละรายการบอกว่าใครอาจทำอะไรได้ ส่งผลอย่างไรต่อธุรกิจของคุณ และขั้นตอนถัดไป คือสิ่งที่มีแต่คุณเท่านั้นที่ทำได้ (พร้อมบอกว่าทำที่ไหน) การแก้ไขที่ Builder ทำได้ หรือหมายเหตุว่า Briks กำลังจัดการอยู่แล้ว
ตรวจรายการที่พับไว้
ความเสี่ยงที่คุณยอมรับ สิ่งที่ตรวจแล้วพบว่าปกติ และสิ่งที่แก้ไขในช่วง 30 วันที่ผ่านมา ถูกพับเก็บไว้ที่ด้านล่าง
Worth checking แสดงรายการสิ่งที่ขึ้นอยู่กับบางอย่างที่มีแต่คุณเท่านั้นที่เห็น เช่น ไฟล์ในโฟลเดอร์ Storage สาธารณะที่ชื่อดูเหมือนเป็นส่วนตัว โดยบอกชัดเจนว่าต้องตรวจอะไรและที่ไหน ผลที่รอคุณอยู่จะปรากฏใต้ Waiting for you ด้วย ข้างสิ่งที่เอเจนต์อื่นถามคุณ
Fix it และ Accept the risk
ให้ Builder แก้ไขข้อค้นพบ
เลือก Fix it
ที่ไหน: Security report
หน้ายืนยันจะแสดงว่าการเปลี่ยนแปลงโดยทั่วไปใช้กี่เครดิต และคุณมีอยู่กี่เครดิต กด Send to the Builder
อนุมัติ
ที่ไหน: Waiting for you
การแก้ไขจะรออยู่ใน Waiting for you ในอีเมลของคุณ และบน Telegram เช่นเดียวกับทุกการเปลี่ยนแปลงที่เอเจนต์ขออนุมัติ คุณอ่าน แก้ถ้อยคำ อนุมัติ หรือปฏิเสธได้
Builder ทำการเปลี่ยนแปลง
เมื่ออนุมัติแล้ว ระบบจะสร้าง ตรวจสอบ และเผยแพร่เป็นเวอร์ชันใหม่ ซึ่งคุณเลิกทำได้จากรายการเวอร์ชัน
เอเจนต์ตรวจอีกครั้ง
หลังเวอร์ชันใหม่ขึ้นใช้งาน ระบบจะตรวจซ้ำ และทำเครื่องหมายว่าแก้แล้วเมื่อสิ่งที่พบนั้นหายไป
Accept the risk ใช้กับข้อค้นพบที่คุณตัดสินใจจะยอมรับ ซึ่งมักเป็นเพราะเกิดจากสิ่งที่คุณขอเอง เช่น ไฟล์ในโฟลเดอร์ Storage สาธารณะที่คุณตั้งใจแชร์ การตัดสินใจของคุณจะถูกเก็บไว้พร้อมชื่อและวันที่ และเอเจนต์จะไม่แจ้งอีก เว้นแต่สถานการณ์จะแย่ลง
สิ่งที่เอเจนต์ไม่ทำเด็ดขาด
- เอเจนต์ไม่เคยเปลี่ยนเว็บไซต์ของคุณเอง ทุกการแก้ไขเป็นการเปลี่ยนแปลงที่คุณอนุมัติเสมอ ทำโดย Builder และเลิกทำได้
- เอเจนต์ไม่เคยเสนอให้ยกเลิกสิ่งที่คุณขอ เมื่อทางเลือกของคุณเองมีความเสี่ยง เอเจนต์จะบอกหนึ่งครั้งแล้วปล่อยให้คุณตัดสินใจ
- เอเจนต์ไม่เคยขอ อ่าน หรือพูดซ้ำค่าของคีย์ เอเจนต์ทำงานกับชื่อคีย์เท่านั้น
- เอเจนต์ไม่เคยพยายามบุกรุก บนเว็บไซต์ที่ใช้งานจริงจะส่งเฉพาะคำขอธรรมดาแบบที่เบราว์เซอร์ของผู้เข้าชมส่ง ไม่เกิน 25 คำขอต่อการตรวจหนึ่งครั้ง ไปยังที่อยู่ของเว็บไซต์คุณเอง
- เอเจนต์ไม่เคยอ่านข้อมูลลูกค้าของคุณทีละรายการ แต่นับจำนวน และระบุรายการใดรายการหนึ่งเฉพาะเมื่อข้อค้นพบจำเป็นต้องใช้
งบและเครดิต
การตรวจเองไม่เสียค่าใช้จ่าย สิ่งที่เอเจนต์ใช้คือการอ่านและเขียนเพื่ออธิบายสิ่งที่พบและเรียบเรียงการแก้ไข โดยหักจากเครดิตของเวิร์กสเปซภายในงบรายเดือนของเอเจนต์ ค่าเริ่มต้น 20 เครดิต ซึ่งเปลี่ยนได้ในการตั้งค่าของเอเจนต์ และใช้ได้วันละหนึ่งในห้าของงบนั้น เอเจนต์ขอแก้ไขไม่เกินสองเรื่องต่อรอบ โดยเรียงจากร้ายแรงที่สุดก่อน และแต่ละการแก้ไขเป็นการเปลี่ยนแปลงปกติที่มีการประมาณเครดิตของตัวเอง
เอเจนต์แก้ไขโดยไม่ถามฉันได้ไหม
ไม่ การแก้ไขด้านความปลอดภัยจะรอการอนุมัติของคุณเสมอ และการตั้งค่าของเอเจนต์นี้จะระบุไว้แทนสวิตช์ที่เอเจนต์อื่นมี ทุกการแก้ไขจะรออยู่ใต้ Waiting for you พร้อมการประมาณเครดิต และเมื่อคุณอนุมัติแล้ว จะถูกเผยแพร่เป็นเวอร์ชันใหม่ที่คุณเลิกทำได้
ทำไมจึงบอกว่า Briks กำลังจัดการเรื่องหนึ่งอยู่แล้ว
สิ่งที่พบบางอย่างเกี่ยวกับวิธีที่ทุกเว็บไซต์ถูกให้บริการ เช่น security header หรือใบรับรอง Briks แก้ให้ทุกเว็บไซต์พร้อมกันในครั้งเดียว คุณและ Builder จึงไม่ต้องทำอะไร
เอเจนต์จะยกความเสี่ยงที่ฉันยอมรับแล้วขึ้นมาอีกไหม
เฉพาะเมื่อสถานการณ์แย่ลง ข้อค้นพบที่ตรวจแล้วพบว่าไม่ใช่ความเสี่ยงจริงก็จะไม่ถูกแจ้งซ้ำเช่นกัน