Giai đoạn thử nghiệm: công cụ tự kiểm tra miễn phí — báo cáo tham khảo, không phải kiểm thử xâm nhập.
Báo cáo mẫu — dữ liệu minh hoạ cho tên miền giả congty-mau.example, tạo offline, không phải của doanh nghiệp thật.

Báo cáo kiểm tra cấu hình công khai · Báo cáo tham khảo, không phải kiểm thử xâm nhập

congty-mau.example

Ngày kiểm tra: 15/10/2026

C 73/100

Hạng C — 73/100

Trên các nhóm đã kiểm tra (Web & TLS và Email & chống giả mạo), tên miền của bạn đạt hạng C (73/100). Có 7 điểm cần xử lý, trong đó việc nên làm trước là: Bật DMARC cho congty-mau.example. Thiếu DMARC giống như ai cũng có thể in danh thiếp mạo danh giám đốc mà không bị ai chặn. Hầu hết các việc này chỉ cần người quản lý tên miền hoặc website làm trong vài chục phút.

Hạng và điểm hiện chỉ phản ánh 2/6 nhóm đã kiểm tra được (Web & TLS, Email & chống giả mạo). Xem cách chấm điểm.

3 việc cần làm ngay

  1. 🟠 Bật DMARC cho congty-mau.example Ai làm: Người quản lý tên miền / DNS (IT hoặc nhà cung cấp hosting) · Thời gian: ~10 phút · Mã AN-EML-003
  2. 🟠 Gia hạn chứng chỉ HTTPS của congty-mau.example Ai làm: IT / nhà cung cấp hosting · Thời gian: ~15 phút · Mã AN-WEB-002
  3. 🟡 Thêm security header cho trang chủ congty-mau.example Ai làm: IT / người quản trị website · Thời gian: ~20 phút · Mã AN-WEB-005
Tổng: 7 điểm cần xử lý 🟠 Cao: 2🟡 Trung bình: 1🔵 Thấp: 4

Tình hình theo 6 nhóm

Tài sản & subdomain
Liệt kê 6 tên miền con từ nhật ký chứng chỉ (thông tin, không tính điểm).
—
Dịch vụ mở ra Internet
Chưa có trong bản miễn phí.
—
Lỗ hổng phần mềm
Chưa có trong bản miễn phí.
—
Web & TLS
4 điểm cần xử lý. 🟠1 🟡1 🔵2
84
Email & chống giả mạo
3 điểm cần xử lý. 🟠1 🔵2
89
Rò rỉ & danh tiếng
Chưa có trong bản miễn phí.
—

Chi tiết các việc ưu tiên

🟠 CAO AN-EML-003 Độ tin cậy: Xác nhận

Chưa có bản ghi DMARC

Tài sản: congty-mau.example (DNS)

Chuyện gì đang xảy ra

Tên miền congty-mau.example chưa có DMARC nên người nhận không biết phải xử lý thư giả mạo tên miền này ra sao.

Vì sao đáng lo

DMARC cho người nhận biết phải làm gì với thư mạo danh tên miền của bạn, đồng thời gửi báo cáo về ai đang gửi thư thay mặt bạn. Không có DMARC, kẻ lừa đảo dễ dàng gửi email giả danh giám đốc hoặc kế toán với địa chỉ nhìn như thật. Bật DMARC theo từng bước không làm gián đoạn thư hiện có.

Cách khắc phục

A. Bắt đầu ở chế độ giám sát (an toàn, khuyến nghị)
  1. Tạo một hộp thư nhận báo cáo, ví dụ dmarc@congty-mau.example (hoặc dùng dịch vụ đọc báo cáo DMARC miễn phí của bên thứ ba).
  2. Vào trang quản lý DNS của congty-mau.example (Cloudflare, cPanel Zone Editor, DirectAdmin, Plesk hoặc cổng của Mắt Bão, PA Vietnam, Nhân Hòa, iNET, Tenten).
  3. Thêm bản ghi TXT: Tên/Host là _dmarc (một số nơi yêu cầu _dmarc.congty-mau.example), giá trị v=DMARC1; p=none; rua=mailto:dmarc@congty-mau.example.
  4. Đảm bảo SPF và DKIM đã được bật cho mọi dịch vụ gửi mail của công ty (Google Workspace: Admin console, Apps, Gmail, Authenticate email; Microsoft 365: Defender portal, Email & collaboration, Policies, DKIM).
  5. Sau 2-4 tuần đọc báo cáo, nếu thư hợp lệ đều đạt, nâng lên p=quarantine rồi p=reject (xem hướng dẫn của mã AN-EML-004).

Cách tự kiểm tra sau khi sửa

Chạy dig TXT _dmarc.congty-mau.example +short (hoặc nslookup -type=TXT _dmarc.congty-mau.example) và thấy bản ghi bắt đầu bằng v=DMARC1. Sau 24-48 giờ bắt đầu nhận báo cáo qua email.

Ai làm: Người quản lý tên miền / DNS (IT hoặc nhà cung cấp hosting)
Thời gian: ~10 phút
Chi phí: 0đ

Bằng chứng (kỹ thuật)

Truy vấn TXT _dmarc.congty-mau.example: không có bản ghi "v=DMARC1"

Tham chiếu: CIS Controls v8: 9.5 · MITRE ATT&CK: T1566 (Phishing)

🟠 CAO AN-WEB-002 Độ tin cậy: Xác nhận

Chứng chỉ HTTPS hết hạn sau 9 ngày

Tài sản: congty-mau.example

Chuyện gì đang xảy ra

Chứng chỉ sắp hết hạn; nếu quên gia hạn, website sẽ bị trình duyệt chặn.

Vì sao đáng lo

Khi chứng chỉ hết hạn, trình duyệt hiện cảnh báo đỏ toàn màn hình và hầu hết khách sẽ rời đi; ứng dụng, API và máy quét mã vạch kết nối tới website cũng báo lỗi. Đây là sự cố rất phổ biến nhưng phòng được hoàn toàn bằng gia hạn tự động.

Cách khắc phục

A. Chứng chỉ miễn phí: bật gia hạn tự động
  1. cPanel: SSL/TLS Status, bấm Run AutoSSL; kiểm tra AutoSSL đang bật trong WHM hoặc nhờ nhà cung cấp hosting bật.
  2. Cloudflare: dùng chứng chỉ Universal SSL của Cloudflare (tự gia hạn); máy chủ gốc dùng chứng chỉ Origin của Cloudflare 15 năm hoặc Let's Encrypt.
  3. Máy chủ Linux dùng certbot: chạy sudo certbot renew --dry-run để thử; bảo đảm systemctl list-timers | grep certbot có lịch chạy. Gia hạn ngay: sudo certbot renew, sau đó sudo systemctl reload nginx (hoặc apache2).
B. Chứng chỉ trả phí mua từ nhà cung cấp
  1. Đăng nhập nơi đã mua chứng chỉ (nhà đăng ký tên miền, Mắt Bão, PA Vietnam, Nhân Hòa, iNET, Tenten...), gia hạn rồi tải về tệp chứng chỉ và chuỗi trung gian (fullchain).
  2. Cài lại vào hosting (cPanel: SSL/TLS, Manage SSL sites) hoặc máy chủ web, sau đó nạp lại cấu hình.
  3. Đặt lịch nhắc trước hạn 30 ngày trong Google Calendar gắn với email của ít nhất hai người.

Cách tự kiểm tra sau khi sửa

Mở https://congty-mau.example, bấm vào ổ khoá, xem ngày hết hạn. Hoặc chạy echo | openssl s_client -connect congty-mau.example:443 -servername congty-mau.example 2>/dev/null | openssl x509 -noout -enddate.

Ai làm: IT / nhà cung cấp hosting
Thời gian: ~15 phút
Chi phí: 0đ nếu dùng Let's Encrypt/Cloudflare; chứng chỉ trả phí theo bảng giá nhà cung cấp

Bằng chứng (kỹ thuật)

Hết hạn ngày 2026-10-24 (còn 9 ngày)
Nhà cấp: Let's Encrypt

Tham chiếu: CIS Controls v8: 3.10

🟡 TRUNG BÌNH AN-WEB-005 Độ tin cậy: Xác nhận

Thiếu 5 security header trên trang chủ

Tài sản: congty-mau.example

Chuyện gì đang xảy ra

Trang chủ chưa gửi một số header giúp trình duyệt tự bảo vệ người dùng: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options / frame-ancestors, X-Content-Type-Options, Referrer-Policy.

Vì sao đáng lo

Security header là 'nội quy' website gửi cho trình duyệt: không cho trang bị nhúng vào trang lừa đảo, không đoán sai loại tệp, luôn dùng HTTPS... Thêm vào chỉ mất vài dòng cấu hình nhưng thu hẹp đáng kể rủi ro mạo danh giao diện và chèn mã độc.

Cách khắc phục

A. Apache hoặc hosting cPanel / DirectAdmin (.htaccess)
  1. Mở tệp .htaccess ở thư mục gốc website (File Manager trong cPanel / DirectAdmin) và thêm vào cuối.
  2. Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains" (chỉ thêm khi toàn bộ website và các tên miền con đã chạy HTTPS; thử trước với max-age=300).
  3. Header always set X-Content-Type-Options "nosniff"
  4. Header always set X-Frame-Options "SAMEORIGIN"
  5. Header always set Referrer-Policy "strict-origin-when-cross-origin"
  6. Header always set Content-Security-Policy-Report-Only "default-src 'self' https: data: 'unsafe-inline'" (bắt đầu bằng chế độ Report-Only để không làm hỏng giao diện; siết dần rồi đổi thành Content-Security-Policy).
B. Nginx
  1. Trong khối server thêm: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;, add_header X-Content-Type-Options "nosniff" always;, add_header X-Frame-Options "SAMEORIGIN" always;, add_header Referrer-Policy "strict-origin-when-cross-origin" always;.
  2. Chạy sudo nginx -t && sudo systemctl reload nginx.
C. Cloudflare (không cần sửa máy chủ)
  1. SSL/TLS, Edge Certificates, bật HTTP Strict Transport Security (HSTS). Các header còn lại thêm bằng Rules, Transform Rules, Modify Response Header.

Cách tự kiểm tra sau khi sửa

Chạy curl -sI https://congty-mau.example và thấy các dòng header vừa thêm. Mở website, duyệt các trang chính, bảo đảm giao diện không bị lỗi (xem tab Console của trình duyệt).

Ai làm: IT / người quản trị website
Thời gian: ~20 phút
Chi phí: 0đ

Bằng chứng (kỹ thuật)

Thiếu: Strict-Transport-Security (HSTS); Content-Security-Policy (CSP); X-Frame-Options / frame-ancestors; X-Content-Type-Options; Referrer-Policy

Tham chiếu: OWASP Secure Headers Project · CIS Controls v8: 16.12

Còn 4 vấn đề khác

Bản miễn phí chỉ trình bày chi tiết các việc ưu tiên cao nhất. 🔵 Thấp: 4. Những mục này đã được tính vào điểm số ở trên. Chi tiết đầy đủ sẽ có trong các gói trả phí (sắp ra mắt).

Đăng ký nhận thông báo

Thông tin tài sản ghi nhận

Địa chỉ IP: 203.0.113.10
TLS đàm phán: TLSv1.3
Chứng chỉ: hết hạn 2026-10-24 (Let's Encrypt)
MX: 1 aspmx.l.google.com; 5 alt1.aspmx.l.google.com

Tên miền con có chứng chỉ công khai (6)

Hãy đối chiếu: tên miền nào không còn dùng, hoặc là môi trường thử nghiệm (staging, dev) cần được bảo vệ?

congty-mau.example, mail.congty-mau.example, shop.congty-mau.example, staging.congty-mau.example, vpn.congty-mau.example, www.congty-mau.example

Muốn được nhắc hằng tuần?

Gói theo dõi hằng tuần (từ 490.000đ/tháng) sắp ra mắt. Để lại email, chúng tôi sẽ báo khi mở. Nếu phát hiện trong báo cáo có vẻ sai, hãy gửi tới lienhe@anninh.io.vn.

Đăng ký nhận thông báo Kiểm tra email khác