عن أداة الفحص

ما هي

Royals Security فحص لأمان المواقع موجّه للأعمال الصغيرة. عندما يطلب منا شخص فحص موقع، تزوره أداة الفحص مرة واحدة وتبلّغ ذلك الشخص بالمشكلات الأمنية الشائعة.

ليست زاحف بحث. لا تفهرس الصفحات، ولا تتتبّع الروابط في موقعك، ولا تعود وفق جدول خاص بها.

كيف تتعرف عليها

كل طلب ترسله أداة الفحص إلى موقع يحمل هذا الـ User-Agent بالضبط:

RoyalsSecurityScanner/1.0 (authorized security assessment)

لماذا زارت موقعك

لا يعمل الفحص إلا عندما يُدخل شخص عنوان موقع في موقعنا ويؤكد أنه يملكه أو يُسمح له بفحصه. إن لم تطلب أنت فحصًا، فقد أدخل عنوانك شخص آخر، ربما زميل أو مطوّر موقعك أو وكالتك.

ما الذي تطلبه

أداة الفحص للقراءة فقط. يرسل الفحص عددًا قليلًا من الطلبات العادية ثم يتوقف:

• صفحتك الرئيسية، عبر HTTP وHTTPS، لقراءة ترويسات الاستجابة وملفات تعريف الارتباط ومعرفة إلى أين تُحوِّل.
• شهادتك، بفتح اتصال آمن عادي.
• سجلات DNS العامة لنطاقك، مثل خوادم الأسماء وSPF وDMARC وDKIM، وسجل التسجيل العام الذي يبيّن متى ينتهي النطاق. هذه الاستعلامات تذهب إلى خوادم DNS وسجل النطاقات، لا إلى موقعك.
• قائمة قصيرة من المسارات الحساسة المعروفة، مدرجة أدناه، لمعرفة هل يمكن الوصول علنًا إلى ملف ينبغي أن يكون خاصًا.
• عنوانًا واحدًا غير موجود، لنميّز الملف الحقيقي من موقع يجيب عن كل طلب بالطريقة نفسها.

لا تسجّل الدخول أبدًا، ولا ترسل نماذج، ولا تخمّن كلمات المرور، ولا تحاول استغلال أي شيء. إن أمكن الوصول إلى أحد الملفات الحساسة، نسجّل أنه موجود ونقرأ منه فقط ما يكفي لتأكيد ماهيته. لا نخزّن محتواه ولا نعرضه أبدًا.

المسارات التي تفحصها

• /.env
• /.git/HEAD
• /.git/config
• /.aws/credentials
• /id_rsa
• /.htpasswd
• /dump.sql
• /backup.sql
• /db.sql
• /backup.zip
• /site.zip
• /wp-config.php.bak
• /wp-config.php~
• /phpinfo.php
• /info.php
• /server-status
• /storage/logs/laravel.log
• /wp-content/debug.log

مسارات إضافية في فحص Business

عندما يكون طالب الفحص على خطة Business، تطلب أداة الفحص هذه العناوين أيضًا، كلًّا منها مرة واحدة، بطلب GET عادي. تنظر فقط هل تعود صفحة تسجيل دخول. لا ترسل نموذجًا أبدًا، ولا تجرّب كلمة مرور، ولا تتابع تسجيل الدخول.

• /wp-admin/
• /wp-login.php
• /administrator/
• /admin/
• /cpanel
• /phpmyadmin/
• /pma/
• /adminer.php
• /.well-known/security.txt

خدمات خارجية تسألها عن النطاق

هذه الاستعلامات لا تمسّ خادمك أبدًا. يُرسَل اسم النطاق فقط.

• خوادم DNS العامة، لسجلات DNS والبريد الإلكتروني.
• سجل النطاقات، عبر rdap.org، لتاريخ الانتهاء.
• في فحوص Business فقط: سجلات Certificate Transparency العامة، عبر crt.sh، للشهادات الصادرة للنطاق. النطاقات الفرعية الموجودة هناك تُدرج ولا تُزار أبدًا.

في معظم المواقع يعود كل واحد من هذه بـ«غير موجود»، وهي النتيجة التي تريدها.

الحدود

عدد الفحوص التي يستطيع شخص واحد تشغيلها، وعدد الفحوص لموقع واحد، محدودان. ترفض أداة الفحص العناوين الخاصة والداخلية.

اطلب منا ألا نفحص نطاقك

إن كنت تفضّل ألا يُفحص نطاقك أبدًا، راسلنا من عنوان على ذلك النطاق وأخبرنا أي نطاق نستثنيه. سنضيفه إلى قائمة الاستثناء لدينا، التي تشمل نطاقاته الفرعية أيضًا، وستُرفض فحوصه.

للإبلاغ عن مشكلة أمنية في Royals Security نفسه، انظر صفحة الأمان.