Phương pháp chấm điểm và nguồn dữ liệu
Chúng tôi công khai cách chấm điểm để bạn kiểm chứng được, không phải “hộp đen”. Trang này luôn đồng bộ với mã nguồn đang chạy.
1. Chế độ kiểm tra
- P — Thụ động: chỉ đọc dữ liệu công khai (DNS, nhật ký chứng chỉ công khai).
- L — Nhẹ: các yêu cầu tương đương trình duyệt bình thường: một lượt GET trang chủ qua HTTPS, một lượt qua HTTP, đọc chứng chỉ TLS.
- A — Chủ động (quét cổng, thử đường dẫn, nhận dạng sâu): chưa triển khai — sắp ra mắt. Chỉ thực hiện sau khi xác minh sở hữu tên miền (bản ghi DNS TXT) và có thoả thuận uỷ quyền ký số (xem mẫu).
Mọi yêu cầu của chúng tôi dùng User-Agent anninh.io.vn-checker/0.1 (+https://anninh.io.vn/phuong-phap), giới hạn tần suất, và chỉ gửi tới địa chỉ IP công cộng của tên miền được kiểm tra.
2. Công thức
Điểm = 100 − Σ (trọng số mức độ × hệ số tin cậy × hệ số tài sản)
| Mức độ | Trọng số | SLA khuyến nghị |
|---|---|---|
| 🔴 Khẩn cấp | 25 | 24–72 giờ |
| 🟠 Cao | 10 | 7 ngày |
| 🟡 Trung bình | 4 | 30 ngày |
| 🔵 Thấp | 1 | Khi tiện |
| ⚪ Thông tin | 0 | — |
| Độ tin cậy | Hệ số | Khi nào |
|---|---|---|
| Xác nhận | 1.0 | Có bằng chứng trực tiếp (ví dụ: bản ghi DMARC không tồn tại) |
| Có khả năng | 0.6 | Suy luận gián tiếp — gắn nhãn “cần xác minh” |
| Tín hiệu | 0.4 | Dữ liệu gián tiếp, ví dụ không thấy DKIM ở các selector phổ biến |
- Hệ số tài sản: tài sản chính (tên miền/web chính, email) = 1.0; tài sản phụ = 0.5. Bản miễn phí hiện chỉ xét tài sản chính.
- Trần mỗi nhóm: mỗi nhóm trừ tối đa 40 điểm vào điểm tổng; trần cùng mã: cùng một mã chỉ tính tối đa 3 lần. (Hai tham số này do chúng tôi chọn và có thể điều chỉnh khi có dữ liệu thực tế.)
- Điểm theo nhóm: 100 trừ tổng điểm trừ của nhóm đó (sau trần cùng mã).
- Hạng: A ≥ 90 · B ≥ 80 · C ≥ 65 · D ≥ 50 · F < 50.
- Luật cứng: có ít nhất một phát hiện Khẩn cấp ở mức “Xác nhận” thì hạng tối đa là D.
- Quy tắc vàng: phát hiện chỉ ở mức “Có khả năng” hoặc “Tín hiệu” không bao giờ được xếp Khẩn cấp (trừ lỗ hổng nằm trong danh mục CISA KEV và khớp chính xác phiên bản — chưa áp dụng ở bản này).
- Phạm vi chấm điểm: chỉ các nhóm đã kiểm tra được mới có điểm. Nhóm chưa hỗ trợ hiển thị “—” thay vì giả định 100. Do đó hạng hiện nay chỉ phản ánh nhóm Email và Web & TLS.
3. Các mã phát hiện đang hoạt động
AN-EML-001 AN-EML-002 AN-EML-003 AN-EML-004 AN-EML-005 AN-EML-006 AN-EML-008 AN-WEB-001 AN-WEB-002 AN-WEB-003 AN-WEB-004 AN-WEB-005 AN-WEB-009 AN-WEB-010 AN-WEB-013 AN-AST-001
Mã có dạng AN-<NHÓM>-<SỐ> (EML: email, WEB: web/TLS, AST: tài sản). Một số mã chỉ ở mức “một phần”: AN-WEB-004 chỉ ghi nhận phiên bản TLS đàm phán được (không thử hạ cấp); AN-EML-007 (STARTTLS), AN-EML-009/010 chưa triển khai.
4. Giới hạn
- Báo cáo là ảnh chụp tại một thời điểm, có thể chưa đầy đủ hoặc chứa sai sót; không phải kiểm thử xâm nhập và không đảm bảo hệ thống an toàn.
- Kiểm tra DKIM chỉ thử một số selector phổ biến nên chỉ là tín hiệu.
- Chỉ kiểm tra trang chủ; các trang đăng nhập hoặc thanh toán ở đường dẫn khác không được xem xét.
- Phiên bản phần mềm suy từ header có thể đã được vá nhưng giữ nguyên số phiên bản; các phát hiện như vậy được gắn nhãn “cần xác minh”.
- Nếu bạn thấy kết quả sai, gửi tới lienhe@anninh.io.vn để chúng tôi xem xét và sửa quy tắc.
5. Nguồn dữ liệu và giấy phép
Mỗi nguồn khai báo giấy phép và quyền dùng thương mại. Chúng tôi không dùng các nguồn cấm dùng thương mại như Shodan InternetDB, VirusTotal, Google Safe Browsing, SSL Labs API.
| Nguồn | Dùng cho | Giấy phép / ghi chú | Dùng thương mại |
|---|---|---|---|
| DNS công khai (tự tra cứu) | SPF, DKIM, DMARC, MX, MTA-STS | Không cần giấy phép — dữ liệu DNS công khai | Được |
| Kết nối trực tiếp tới tên miền được kiểm tra | Chứng chỉ TLS, chuyển hướng HTTPS, security header, cookie | Tương đương trình duyệt truy cập bình thường: 1 GET HTTPS, 1 GET HTTP, đọc chứng chỉ TLS (tự đánh giá bằng thư viện ssl, không dùng SSL Labs API) | Được |
| Cert Spotter API (SSLMate) | Liệt kê subdomain (mức Thông tin) | Gói miễn phí, 100 truy vấn/giờ; key miễn phí dùng cho production (điều khoản ghi nguồn: chưa xác minh) Danh sách subdomain lấy từ Certificate Transparency logs qua Cert Spotter (SSLMate). | Được |
| crt.sh (Sectigo) | Liệt kê subdomain dự phòng | Chưa có điều khoản công bố (chưa xác minh) — chỉ dùng dự phòng, tốc độ thấp, tối đa 1 yêu cầu/lượt Danh sách subdomain lấy từ Certificate Transparency logs qua crt.sh. | Được |
Khi bổ sung dữ liệu CVE từ NVD, chúng tôi sẽ ghi rõ: “This product uses the NVD API but is not endorsed or certified by the NVD.”. Các nguồn dự kiến (chưa bật): CISA KEV, FIRST EPSS, endoflife.date.