Biết ngay ứng dụng của bạn đã sẵn sàng ra mắt chưa.

Chúng tôi kiểm tra gì

• Bảo mật

  Khóa cơ sở dữ liệu và thanh toán để lại trong mã trang, bảng mà ai cũng đọc được, thiếu header bảo mật, và các tệp bị lộ như .env và source map.

• Thanh toán

  Thanh toán có hoạt động không, khách truy cập có thể đổi giá trong trình duyệt không, và trong mã có khóa thanh toán bí mật không.

• SEO

  Công cụ tìm kiếm thấy nội dung của bạn hay một trang trống. Tiêu đề, mô tả, bản xem trước liên kết, sitemap và robots.txt.

• Tốc độ

  Core Web Vitals, dung lượng script và hình ảnh, đo bằng Lighthouse ở cấu hình di động.

• Pháp lý

  Chính sách quyền riêng tư, điều khoản, banner cookie khi bạn dùng công cụ theo dõi, cách liên hệ với bạn, và bản ghi SPF, DKIM, DMARC cho email.

• Chi phí

  API AI trả phí như OpenAI hay Anthropic được gọi trực tiếp từ trình duyệt, nơi bất kỳ ai cũng có thể dùng lại khóa của bạn và đẩy hóa đơn lên cao.

Cách chúng tôi kiểm tra

Một số kiểm tra trùng với công cụ miễn phí. Chúng tôi gộp lại, giải thích bằng lời dễ hiểu và chỉ cách sửa từng cái.

Những điều chúng tôi không bao giờ làm

• Không bao giờ tấn công hay làm quá tải ứng dụng của bạn.
• Chúng tôi không bao giờ thay đổi bất cứ thứ gì trên trang của bạn. Chúng tôi chỉ đọc những gì trình duyệt nhìn thấy.
• Không bao giờ hỏi mật khẩu, token bot, cụm từ khôi phục hay ví.
• Không bao giờ lưu bí mật tìm thấy, chỉ 6 ký tự đầu.
• Chúng tôi không bao giờ quét trang của cơ quan nhà nước, ngân hàng, y tế hoặc giáo dục.
• Chúng tôi không bao giờ cần mã nguồn hay tài khoản đăng nhập để quét.

Vì sao nên kiểm tra trước khi ra mắt

Tiêu chuẩn mở, công cụ mở

Tiêu chuẩn công khai đằng sau các kiểm tra

• OWASP Top 10

  Cấu hình bảo mật sai: header theo OWASP Secure Headers Project, HTTPS, cờ cookie, và các tệp .env, .git, source map bị lộ.

• CWE-798

  Thông tin xác thực trong mã: khóa bí mật trong JavaScript mà trang của bạn gửi cho mọi khách truy cập.

• WCAG 2.1 A/AA

  Quy tắc trợ năng tự động từ axe-core. Công cụ tự động chỉ phát hiện một phần vấn đề, không phải tất cả.

• Core Web Vitals

  LCP và CLS từ lần chạy thử nghiệm Lighthouse với cấu hình di động. Total Blocking Time thay cho INP, vốn chỉ có từ khách truy cập thật.

• SPF · DKIM · DMARC

  Bản ghi xác thực email (RFC 7208, 6376, 7489), đọc từ DNS công khai.

Đây là tham chiếu, không phải chứng nhận. Kết quả quét sạch không có nghĩa ứng dụng của bạn tuân thủ bất kỳ tiêu chuẩn nào trong số đó.

Xây dựng trên mã nguồn mở

• PlaywrightApache-2.0

  Mở trang của bạn trong trình duyệt thật, như một khách truy cập.

• LighthouseApache-2.0

  Kiểm tra tốc độ và SEO.

• axe-coreMPL-2.0

  Quy tắc trợ năng.

• GitleaksMIT

  Một phần mẫu phát hiện khóa bí mật của chúng tôi được phỏng theo quy tắc của nó.

Câu hỏi