Máy quét đọc mã nguồn của bạn. Nhưng sự cố lại xảy ra ở thứ đã triển khai — khóa API lọt vào trình duyệt, thông tin kết nối và bản dump cơ sở dữ liệu ai cũng tải được, API không xác thực. Chúng tôi nhìn vào thực tế đã triển khai. Và ghi lại cả những gì chưa xác minh được.
Nguồn: Escape.tech — State of Security of Vibe Coded Apps (2025, ~1.400 app, 2.038 lỗ hổng nghiêm trọng) · Veracode 2025 GenAI Code Security Report (100+ LLM) · số liệu ngành, không phải đo trên app của bạn
Chúng tôi không quét gì cho đến khi bạn chứng minh mình kiểm soát tên miền. Không phải ô “Tôi đồng ý” — mà là một bằng chứng chỉ bạn mới tạo được. Không ai có thể nhập tên miền của bạn rồi yêu cầu quét.
Kiểm tra nội bộ qua SSH chỉ chạy khi có yêu cầu rõ ràng và quyền truy cập riêng. Kết quả chỉ gửi cho bạn và không bao giờ công bố. Mọi bí mật tìm thấy chỉ giữ dưới dạng vân tay — không lưu bản gốc.
HOW IT WORKS
Bước thứ hai — chứng minh sự đồng ý — chính là điều làm dịch vụ này an toàn.
Nhập địa chỉ web app cần kiểm tra, chúng tôi cấp một token duy nhất chỉ gắn với yêu cầu của bạn.
Đặt token tại /.well-known/star365-audit-consent.txt hoặc thêm bản ghi DNS TXT. Việc đặt được token ở đó chính là bằng chứng bạn là chủ tên miền.
Chỉ kiểm tra sau khi đã xác minh token. Đạt, thất bại (cảnh báo/nguy hiểm) — và những mục chưa xác minh được — tất cả trong một biên nhận chống giả mạo.
TRY IT
Việc kiểm tra thật chạy trên máy chủ của chúng tôi, nhưng bạn có thể trải nghiệm luồng yêu cầu và cấp token ngay tại đây.
WHAT WE CHECK
Danh sách này được tạo từ những gì engine kiểm tra khai báo, không phải gõ tay — engine đổi thì bảng đổi theo. Mỗi mục nhận một trong ba kết quả: đạt, không đạt, chưa xác định.
Trang có phản hồi không. Không đọc được thì không phán xét các mục khác.
reachableKhóa API hay bí mật khác có nằm trong HTML/JS gửi tới trình duyệt không.
client_secretsLiệu source map công khai (.map hoặc data-URI nội tuyến) có cho phép dựng lại mã nguồn gốc từ bundle — ngay cả khi bundle không có bí mật, logic giá, luồng nội bộ và chú thích vẫn bị lộ. Đây chính là mục tiêu của kỹ thuật dịch ngược từ bên ngoài.
source_mapsCác đường dẫn như .env hay .git có truy cập được từ bên ngoài không.
exposed_pathsBốn header bảo mật chính như CSP và HSTS đã được đặt chưa.
security_headersURL không tồn tại có trả về 200 không — máy sẽ đọc URL gõ sai như trang thật.
soft_404Trên site https có cookie nào thiếu Secure không — có thể rò rỉ qua yêu cầu không mã hóa.
cookie_flagsrobots.txt có chặn trang công khai này với mọi trình thu thập không. Không có tệp là bình thường.
robots_sanityHTML nhận được khi không chạy JavaScript đã có nội dung chưa — trình thu thập và xem trước liên kết không chạy JS.
server_rendered_bodyMở bằng trình duyệt thật và xem console có lỗi không.
runtime_errorsScript, ảnh hay tài nguyên khác có tải lỗi không.
broken_assetsTrang https có tải tài nguyên http không.
mixed_contentNội dung có thực sự hiện ra không — 200 vẫn có thể là màn hình trắng.
renders_contentMàn hình hẹp có bị cuộn ngang không.
mobile_overflowĐi theo các liên kết nội bộ để xem có mở được không.
internal_linksĐo cỡ chữ và độ tương phản trên trang đã hiển thị — tối thiểu 12px, WCAG AA (4,5:1 chữ thường, 3:1 chữ lớn). Không xác định được nền thì không phán xét.
readabilityTrang công khai có gọi localhost hay IP nội bộ không — địa chỉ API dành cho dev còn sót trong bản build sẽ lỗi với mọi khách truy cập.
private_network_callsCác đường dẫn API phổ biến có trả danh sách thông tin người dùng (email, điện thoại…) mà không cần đăng nhập không — chỉ kiểm tra bằng GET, không lưu giá trị.
open_api_dataNếu gói mã có địa chỉ Supabase và khóa anon, kiểm tra từng bảng mà gói đã gọi bằng một yêu cầu GET với khóa ẩn danh để xem RLS đã bật chưa. Không đọc giá trị của hàng, chỉ xem tên cột.
supabase_rlsKiểm tra xem tiêu đề Server, X-Powered-By hoặc thẻ generator có lộ chuỗi phiên bản như nginx/1.24.0 hay không. Phiên bản không phải là lỗi, nhưng cho kẻ tấn công manh mối. Chúng tôi không đánh giá nó có dễ bị tấn công hay không.
version_disclosureSAMPLE REPORT
Một ví dụ kiểm tra thật. Không chỉ các mục đạt — chúng tôi còn ghi những gì chưa xem được và những gì cần sửa.
WHY US
Bản miễn phí của Snyk và Semgrep rất tốt. Nhưng chúng đọc mã nguồn.
FAQ
Để con người và công cụ trả lời AI đọc cùng một câu trả lời, chúng tôi để các câu hỏi thường gặp ngay tại đây.
Không phải mã nguồn mà là thực tế đã triển khai. Khóa API lọt vào trình duyệt, thông tin kết nối cơ sở dữ liệu bị lộ ra ngoài, API không xác thực — và chúng tôi còn mở bằng trình duyệt thật để bắt lỗi console, tài nguyên hỏng, tràn ngang trên di động và liên kết chết. Tức là các sự cố xảy ra sau khi triển khai, nhìn từ bên ngoài.
Không bằng ô đánh dấu mà bằng bằng chứng. Chúng tôi cấp một token; việc kiểm tra chỉ bắt đầu khi bạn chứng minh quyền sở hữu bằng cách đặt nó tại đường dẫn chỉ định trên tên miền hoặc làm bản ghi DNS TXT. Chúng tôi xác minh lại ngay trước khi quét.
Kiểm tra bên ngoài chỉ dùng yêu cầu GET chỉ đọc. Không tiêm mã, không dò mật khẩu, không gây quá tải. Biên nhận kết quả được lưu dưới dạng chuỗi băm chống giả mạo.
Mỗi kết quả là một trong đạt / thất bại / chưa xác định, và mục thất bại kèm mức độ (cảnh báo/nguy hiểm). Chúng tôi không gộp mục chưa đọc được thành đạt hay 0 — ghi lại cả những gì chưa xác minh được.
Kiểm tra bên ngoài miễn phí. Nếu muốn, bạn có thể đóng góp tự nguyện (phi giám hộ: USDT, USDC, BTC, ETH, BNB). Kiểm tra nội bộ SSH và giám sát liên tục được sắp xếp sau khi trao đổi, tùy phạm vi.
Liên quan: Yêu cầu kiểm tra · llms.txt · Đơn vị vận hành star365 · Đội giao dịch metaquant · Sơ đồ trang
NẾU ĐIỀU NÀY HỮU ÍCH
Kiểm tra bên ngoài miễn phí. Nếu bạn cần kiểm tra sâu hơn, hoặc thấy hữu ích, hãy để lại một tín hiệu — đó là điều giúp dịch vụ này tiếp tục.
SUPPORT
Kiểm tra bên ngoài miễn phí. Nếu hữu ích, đóng góp tự nguyện giúp dịch vụ tiếp tục (tùy chọn). Phi giám hộ — thẳng vào ví.
🔴 Chỉ gửi trên mạng được hiển thị — sai chuỗi là mất vĩnh viễn. Dưới mức tối thiểu cũng mất.
Đóng góp vào tài khoản sàn star365 · Hỗ trợ USDT, USDC, BTC, ETH, BNB