Nasıl çalışır
Kayıttan rapora kadar her adımda ne olduğunu, kimin ne yaptığını burada anlatıyoruz.
Üye olun, demo talep edin
Tek formda hesap açılır ve denetlenecek web adresini ya da APK/EXE dosyasını bildirirsiniz.
Talep onayı
Bir uzman talebi inceler: varlık gerçek mi, kapsam uygun mu. Genellikle aynı iş günü içinde.
Sahiplik doğrulama
Web sitesi için DNS TXT kaydı veya sitenize koyacağınız bir dosya. Dosya yüklemelerinde bu adım yoktur.
Rapor
Tarama tamamlanınca e-posta alırsınız. Rapor panelinizde; yazdırılabilir ve paylaşılabilir.
Üyelik ve demo talebi
Kayıt formunda ad, şirket, iletişim bilgileri ve denetlenecek ilk varlığı istiyoruz. Varlık bir web adresi, bir Android uygulama paketi (APK) ya da bir Windows çalıştırılabilir dosyası (EXE) olabilir. Hizmet koşullarını, KVKK aydınlatma metnini ve tarama yetkilendirme beyanını bu adımda onaylarsınız.
Talebin incelenmesi
Her demo talebine bir kişi bakar. Amaç kötüye kullanımı önlemek: bir kamu kurumunun ya da tanımadığınız bir şirketin sitesi için yapılan talepleri reddederiz. Onaylanan talep için ücretsiz tarama sıraya alınır.
Sahiplik doğrulama
Web siteleri için iki yöntemden birini seçersiniz:
- DNS TXT kaydı
- Alan adınıza
siper-dogrulama=…biçiminde bir TXT kaydı eklersiniz. Anahtar panelinizde yazılıdır. - Doğrulama dosyası
- Sitenizin kökünde
/.well-known/siper-dogrulama.txtadresine yalnızca anahtarı içeren bir dosya koyarsınız.
Doğrulama tamamlanana kadar taramanız bekler; o adrese hiçbir istek gönderilmez. Dosya yüklemelerinde (APK, EXE) bu adım gerekmez.
Tarama
Web taramasında tarayıcımız kendini SiperScanner/1.0 olarak tanıtır, sunucu başına saniyede en fazla beş istek gönderir ve yalnızca okuma yapar. APK ve EXE dosyaları çalıştırılmadan, statik olarak incelenir. İlerlemeyi panelden canlı izleyebilirsiniz.
Rapor ve sonrası
Rapor hazır olunca e-posta alırsınız. Bulgular önem sırasıyla listelenir; her birinin altında düzeltme adımları vardır. Düzeltmeleri yaptıktan sonra yeni bir tarama ile sonucu teyit edebilirsiniz.
Demo raporunda en ciddi üç bulgunun ayrıntısı açıktır; kalanını 1 kredi ile açabilirsiniz. Ücretli taramaların raporu baştan tamdır.
| Önem | Bulgu | Ref. |
|---|---|---|
| Yüksek | jQuery 1.12.4 kullanılıyor; CVE-2020-11023 aktif olarak istismar ediliyor (CISA KEV) | CWE-79 |
| Yüksek | Sürüm deposu dışarıdan okunabiliyor: /.git/HEAD yanıt veriyor | CWE-538 |
| Orta | TLS 1.0 hâlâ kabul ediliyor | CWE-327 |
| Orta | İçerik Güvenliği Politikası (CSP) tanımlı değil | CWE-693 |
| Düşük | Oturum çerezinde SameSite özniteliği yok | CWE-1275 |
| Bilgi | Sunucu sürümü yanıt başlığında görünüyor: nginx/1.18.0 | CWE-200 |
Örnek rapordan alıntı. Her bulgunun altında açıklama, kanıt ve düzeltme adımları yer alır.
Başlamak için bir adres ya da dosya yeterli.
Demo talebi ücretsizdir ve kart bilgisi istemez.