Question 1

स्कैनर क्या जाँचता है?

Accepted Answer

यह पेज लाता है, उसे रेंडर करता है ताकि lazy-load होने वाले bundle भी शामिल हों, फिर पेज की भेजी हर JavaScript फ़ाइल पढ़ता है। आपकी अपनी हर फ़ाइल के लिए यह मापता है कि पढ़ने वाला सामान्य कोड के रूप में कितना वापस पाता है, सार्वजनिक source map की जाँच करता है, और क्रेडेंशियल खोजता है। वेंडर SDK, थर्ड-पार्टी डोमेन और डायनेमिक-कोड sink अलग से सूचीबद्ध होते हैं और स्कोर में नहीं गिने जाते।

Question 2

स्कोर कैसे गिना जाता है?

Accepted Answer

100 में से। कोड एक्सपोज़र के 75 अंक हैं, जो आपकी अपनी JavaScript फ़ाइलों में बाइट के अनुसार भारित हैं, इसलिए बड़ा पढ़ने योग्य bundle छोटे से ज़्यादा अंक काटता है। क्रेडेंशियल के 25 अंक हैं: प्राइवेट कुंजी, क्लाउड सीक्रेट, पेमेंट सीक्रेट, रिपॉज़िटरी टोकन या डेटाबेस URL 25 अंक काटता है, बिना प्रतिबंध वाली publishable कुंजी 10। पूरे सोर्स वाला सार्वजनिक source map या सार्वजनिक git रिपॉज़िटरी स्कोर को 10 पर सीमित करती है, और केवल mappings वाला map 50 पर। ईमेल, IP पते, ब्राउज़र कुंजियाँ और वेंडर कोड स्कोर नहीं बदलते।

Question 3

सादा, Minified और Obfuscated का क्या मतलब है?

Accepted Answer

सादा का मतलब है फ़ाइल जैसी लिखी गई वैसी ही भेजी गई: नाम, कमेंट और फ़ॉर्मैटिंग बरकरार। Minified का मतलब है नाम छोटे कर दिए गए और खाली जगह हटा दी गई, पर संरचना, स्ट्रिंग और property नाम बरकरार हैं, और कोई beautifier ज़्यादातर वापस ला देता है। Obfuscated का मतलब है स्ट्रिंग और नाम छिपे हैं और control flow दोबारा लिखा गया है। पढ़ने योग्य कॉलम बताता है कितना बचा है: आम ओपन-सोर्स obfuscator के लिए लगभग 20 से 30 प्रतिशत, AfterPack के आउटपुट के लिए 10 प्रतिशत से कम। सोर्स उजागर का मतलब है सार्वजनिक map मूल कोड लौटा देता है।

Question 4

क्रेडेंशियल किसे माना जाता है?

Accepted Answer

ऐसा मान जो अपने आप पहुँच देता है: प्राइवेट कुंजियाँ, AWS और दूसरे क्लाउड के सीक्रेट, Stripe सीक्रेट कुंजियाँ, GitHub और GitLab टोकन, Slack टोकन, डेटाबेस कनेक्शन स्ट्रिंग और bearer टोकन। मिलान 80 अक्षरों के संदर्भ के साथ छिपाकर दिखाए जाते हैं ताकि आप उन्हें फ़ाइल में ढूँढ सकें। स्कैनर को मिली हर कुंजी बदल दें: obfuscation किसी मान को crawler से छिपाता है, पर कोड चलाने वाला उस मान तक फिर भी पहुँच सकता है जिसका कोड इस्तेमाल करता है।

Question 5

ईमेल और ब्राउज़र कुंजियों का स्कोर क्यों नहीं होता?

Accepted Answer

संपर्क पेज पर ईमेल पता, सार्वजनिक IP, या Google Maps या Firebase की ब्राउज़र कुंजी स्वभाव से सार्वजनिक होती है। इन्हें लीक के रूप में दिखाना पिछले स्कैनर में झूठे अलार्म का मुख्य कारण था। अब ईमेल, फ़ीचर फ़्लैग, आंतरिक होस्ट और डेवलपर कमेंट "आपका कोड पढ़ने वाले को क्या बताता है" में दिखते हैं, और IP पते व ब्राउज़र कुंजियाँ क्रेडेंशियल के नीचे एक फ़ोल्ड में, दोनों शून्य भार के साथ।

Question 6

वेंडर कोड क्या है और यह अलग क्यों है?

Accepted Answer

आपके डोमेन से भेजे गए SDK और लाइब्रेरी, जैसे कोई analytics recorder या UI framework। इन्हें host, path या license banner से पहचाना जाता है। किसी भी obfuscator को वेंडर का अपने-आप अपडेट होने वाला bundle नहीं बदलना चाहिए, और उसकी पठनीयता आपके कोड के बारे में कुछ नहीं बताती, इसलिए वेंडर फ़ाइलें अपने अलग सेक्शन में दिखती हैं और स्कोर में शामिल नहीं होतीं।

Question 7

Source map सबसे बुरा मामला क्यों है?

Accepted Answer

Source map भेजी गई फ़ाइल को आपके लिखे कोड से जोड़ता है, फ़ाइल नाम, कमेंट और संरचना सहित। अगर map में मूल सोर्स भी शामिल हो, तो पढ़ने वाला आपका प्रोजेक्ट वैसा ही डाउनलोड कर लेता है जैसा वह आपके एडिटर में है। स्कैनर आपकी सबसे बड़ी फ़ाइलों के साथ वाली .map फ़ाइल माँगता है, चाहे फ़ाइल में sourceMappingURL कमेंट हो या न हो। सबसे पहले प्रोडक्शन बिल्ड से map हटाएँ, या उन्हें CDN पर ब्लॉक करें।

Question 8

मैं स्कोर कैसे सुधारूँ?

Accepted Answer

सार्वजनिक source map हटाएँ, हर क्रेडेंशियल बदलें और हटाएँ, फिर अपना बिल्ड AfterPack से चलाएँ। रिपोर्ट आपका framework बताती है और सटीक इंस्टॉल कमांड दिखाती है; framework गाइड बाकी सब बताती है। सुरक्षित बिल्ड इस स्कैनर पर 90 से ऊपर स्कोर करता है क्योंकि उसका बहुत कम हिस्सा पढ़ने योग्य होता है और कुछ भी सोर्स तक वापस नहीं ले जाता।

Question 9

क्या यह मुफ़्त है, और क्या मैं इसे टर्मिनल से चला सकता हूँ?

Accepted Answer

हाँ। कोई अकाउंट नहीं, हर नेटवर्क से प्रतिदिन तीन स्कैन, और यही स्कैन टर्मिनल में npx afterpack audit से। परिणाम उनके लिंक से शेयर किए जा सकते हैं। एक पेज अधिकतम हर 30 मिनट में फिर से स्कैन होता है; उस अवधि में दोबारा स्कैन करने पर मौजूदा रिपोर्ट मिलती है और यह सीमा में नहीं गिना जाता।

Question 10

क्या मैं दिखा सकता हूँ कि मेरी साइट सुरक्षित है?

Accepted Answer

हाँ। जब तक नवीनतम स्कैन इसकी पुष्टि करता है (साइट के अपने कोड पर AfterPack आउटपुट, कोई सार्वजनिक सोर्स मैप या क्रेडेंशियल नहीं, ग्रेड A), AfterPack बैज Protected by AfterPack दिखाता है। अन्यथा नवीनतम स्कोर दिखाता है, या not graded जब तक किसी स्कैन ने साइट को ग्रेड नहीं किया। हर परिणाम पेज पर फ़ुटर और README स्निपेट हैं।

क्या कोई आपकी साइट का सोर्स कोड पढ़ सकता है?

सुरक्षा स्कैनर FAQ