И никто вам не сказал. «Внешняя поверхность» перечисляет все имена хостов под вашим доменом, во что каждое резолвится, какие порты принимают соединение, что предъявляет TLS и какие чувствительные пути отвечают — и сообщает в день, когда что-то из этого меняется.
Три хоста на бесплатном тарифе. Карта не нужна — нужна DNS-запись или файл, доказывающие, что домен ваш.
Перечислить имена хостов из публичных журналов сертификатов — никого не трогает. Подключиться к порту — трогает. Поэтому каждая активная проверка ждёт одной TXT-записи или одного файла на вашем апексе — того же доказательства, что попросил бы регистратор. Сканировать чужие хосты с ваших слов — не та услуга, которую мы продаём.
Мы видим, что порт 3306 принимает соединение. Мы не пробуем пароль, не шлём команду и не читаем баннер, поэтому не знаем, смог бы кто-то войти, — и не делаем вид, что знаем. Каждая находка называет, что открыто, и на этом останавливается. Высший уровень важности не используется никогда.
Порт, который не ответил, — не закрытый порт. Рукопожатие по таймауту — не «нет TLS». Заголовки защиты от ботов — не вашего сервера. Каждое из этого стоит как «проверить не удалось», не входит в балл и никогда не закрывает более раннюю находку.
Журналы Certificate Transparency и пассивный DNS знают ваши имена хостов раньше вас — dev, staging, старый магазин, поддомен, оставленный подрядчиком. Их читают, а не трогают, и в тариф они не входят.
Два десятка известных TCP-портов, одно TLS-рукопожатие, один запрос страницы ради заголовков, один проход по фиксированному каталогу путей, которые отвечать не должны, и взгляд в десять чёрных списков. Без снятия баннеров, без угадывания версий и путей, без эксплойтов. Мы отправляем соединение; мы храним ответ, но никогда — тело.
Открытость — 0–100 на хост, из шести классов проверок с опубликованными весами. Класс, который проверка не смогла завершить, исключается из обеих сторон арифметики — не засчитывается ни как чистый, ни как провальный. Разбивка, приложенная к числу, называет измеренные классы.
Появившееся имя хоста, открывшийся порт, начавший отвечать путь, сменившийся сертификат. Сто хостов, выглядящих как на прошлой неделе, — не новость, и письма они не порождают.
