Metodoloji
WebKarne, bir alan adının kamuya açık güvenlik yapılandırmasını pasif olarak ölçer ve teknik bilgi gerektirmeyen anlaşılır bir karneye dönüştürür. Ölçümün nasıl yapıldığı aşağıda.
Yalnızca pasif ölçüm
WebKarne yalnızca DNS sorguları ve sıradan HTTP GET istekleri yapar — tıpkı bir tarayıcının veya e-posta sunucusunun yapacağı gibi.
Hiçbir saldırı, açık taraması, dizin/dosya denemesi, port taraması, oturum açma veya form gönderimi yapılmaz. Her istekte zaman aşımı ve hız sınırı zorunludur. Ölçüm, sitenin sahibinden izin gerektirmeyen, herkese açık bilgiyle sınırlıdır.
Dört boyut
Karne dört boyuttan oluşur: E-posta ve alan adı kimliği (SPF, DKIM, DMARC, DNSSEC, DANE, MTA-STS ve benzeri); Aktarım ve sunucu güvenliği (HTTPS, TLS sürümleri, sertifika, HSTS, güvenlik başlıkları); Gizlilik ve izleme; Teknoloji ve görünen yüzey.
Şu an ilk iki boyut ölçülmektedir. Gizlilik ve izleme ile teknoloji ve görünen yüzey boyutlarının toplayıcıları geliştirilme aşamasındadır; hazır olana kadar bu boyutlar karnede dürüstçe ölçülmedi olarak gösterilir.
Ölçüm ile puanlama ayrıdır
Bir toplayıcı ne gözlemlediyse onu ham veri olarak kaydeder; iyi ya da kötü diye yorum yapmaz, puan vermez.
Puanlama tümüyle ayrı bir katmandır ve sürüm numaralı kurallarla çalışır. Bu sayede kurallar değişse bile aynı ham veri üzerinde yeniden puanlama yapılabilir. Karnedeki her boyut notu, hangi kural sürümüyle üretildiğini taşır.
Dört ölçüm durumu
Her kontrol dört durumdan biriyle gösterilir: geçti, geçemedi, ölçülemedi ve uygulanamaz.
Ölçülemedi durumu asla kayıt yok anlamına gelmez. Bir sorgu başarısız olduysa bu, kaydın var olmadığı sonucuna karıştırılmadan ölçülemedi olarak yazılır; alan adının hiç bulunmaması (NXDOMAIN) ile sorgu hatası birbirinden ayrı tutulur. Bu ayrım ölçümün doğruluğu için kritiktir.
Not skalası
Harf notları ve eşik değerleri koddan ayrı, sürümlenmiş bir yapılandırma dosyasında tutulur. Karnede gördüğünüz her boyut notu bu yapılandırmadan gelir.
Böylece not skalası şeffaf ve denetlenebilirdir; bir notun neden verildiği ham veriye ve kural sürümüne kadar geri izlenebilir.
Sınırlar ve dürüstlük
WebKarne yalnızca kamuya açık yapılandırmayı ölçer; sitenin içeriğine, kullanıcı verilerine veya özel bilgilere erişmez. Ölçülmeyen hiçbir şey tahmin edilmez veya uydurulmaz — ölçülmediyse öyle gösterilir.
Bu karne bir güvenlik denetimi değil, kamuya açık yapılandırmanın bir anlık görüntüsüdür. İyi bir not sitenin her yönden güvenli olduğunu garanti etmez; zayıf bir not ise gözlemlenen somut eksikliklere dayanır.