Come funziona il controllo

Inserisca un dominio aziendale registrato. Apra il rapporto privato con un indirizzo e-mail di quel dominio, oppure usi la verifica DNS.

1. Inserisca il Suo dominio e legga il voto e i conteggi per categoria.
2. Apra il link monouso ricevuto via e-mail o verifichi un record DNS.
3. Esamini i Suoi prossimi passi (fino a tre), poi l’elenco completo e gli aspetti non accertati.

Il controllo passivo richiede la home page in HTTPS e segue al massimo due reindirizzamenti all’interno dello stesso sito web, ad esempio verso www o una pagina di lingua. Osserva il reindirizzamento HTTP e la connessione TLS, e legge il DNS pubblico e /.well-known/security.txt. Il DNS comprende i record A, AAAA, NS, MX, SPF, DMARC, i selettori DKIM comuni, CAA e DNSSEC (DS). Non esplora altre pagine, non apre caselle di posta, non convalida le firme DKIM e non verifica la catena DNSSEC.

I link social supportati trovati sulla home page possono ricevere una richiesta HEAD per controllarne la risposta, con al massimo un reindirizzamento che mantenga lo stesso profilo. Nessun contenuto dei profili viene letto. Cerchiamo anche il link esatto nei campi Contact del security.txt raccolto, quando il documento è valido e aggiornato. Pagine dei contatti, titolarità dei profili e sicurezza degli account non vengono controllate; queste osservazioni non influiscono sul voto.

Il voto parte da 100: ogni problema moderato toglie 15 punti e ogni problema minore ne toglie 5. A parte da 95, B da 80, C da 65 e D da 50; sotto c’è F. Un certificato TLS non valido, o un sito web che funziona solo in HTTP non cifrato, significa F. Se un controllo che concorre al voto ha esito sconosciuto, il risultato non può superare B. Senza una risposta HTTPS riuscita della home page, non viene assegnato alcun voto, a meno che non sia stato osservato uno di questi casi.

TLS, reindirizzamento HTTPS, intestazioni di sicurezza del browser, cookie, MX, SPF e DMARC contribuiscono al voto. La ricerca DKIM, CAA, i segnali DNSSEC e security.txt compaiono nel rapporto ma non cambiano il voto. Un buon voto non elimina la necessità di esaminare i punti non verificati.

Le osservazioni pubbliche vengono riutilizzate per 24 ore, oppure per 10 minuti dopo un timeout o un’interruzione del servizio. I visitatori anonimi vedono solo il voto e i conteggi. Un link e-mail monouso scade dopo 15 minuti e dimostra il possesso di un indirizzo dello stesso dominio registrato. I fornitori di posta gratuiti e i suffissi di hosting pubblici vengono rifiutati. La verifica DNS è disponibile se non ha una casella di posta sul dominio.

Capire i risultati non determinati

I controlli non valutati, non riusciti o non applicabili non contano come controlli di sicurezza superati. Il rapporto conserva il limite e le prove disponibili.

Un indizio di versione visibile dall’esterno non conferma una vulnerabilità applicabile. Una registrazione pubblica non dimostra che la verifica in due passaggi sia obbligatoria, e una pagina pubblica non può dimostrare che i backup si possano ripristinare.

I controlli pubblici non possono accertare la consegna nelle caselle di posta, l’effettiva protezione SPF/DMARC, la verifica in due passaggi (MFA) degli account, i processi interni di aggiornamento, il ripristino dei backup o la sicurezza complessiva. Non sono inclusi accesso alle caselle di posta, e-mail di prova, test autenticati o sfruttamento di vulnerabilità.