Question 1

Що перевіряє сканер?

Accepted Answer

Він завантажує сторінку, рендерить її, щоб урахувати ліниво завантажені бандли, а потім читає кожен JavaScript-файл, який віддає сторінка. Для кожного вашого власного файлу він вимірює, скільки читач отримує як звичайний код, шукає публічну source map і перевіряє наявність облікових даних. Сторонні SDK, сторонні домени та синки динамічного коду наведено окремо, і вони не враховуються.

Question 2

Як рахується оцінка?

Accepted Answer

Зі 100. Відкритість коду дає 75 балів, зважених за байтами ваших власних JavaScript-файлів, тож великий читабельний бандл коштує більше, ніж маленький. Облікові дані дають 25 балів: приватний ключ, хмарний секрет, платіжний секрет, токен репозиторію або URL бази даних знімають 25, публічний ключ без обмежень — 10. Публічна source map із повним кодом або публічний git-репозиторій обмежують оцінку до 10, а map лише з mappings — до 50. Email-адреси, IP-адреси, браузерні ключі та сторонній код оцінку не змінюють.

Question 3

Що означають «Як є», «Мініфіковано» та «Обфусковано»?

Accepted Answer

«Як є» означає, що файл віддається в тому вигляді, у якому його написано: імена, коментарі та форматування на місці. «Мініфіковано» означає, що імена скорочено, а пробіли прибрано, але структура, рядки та назви властивостей цілі, і форматувальник відновлює більшу частину. «Обфусковано» означає, що рядки та імена приховано, а потік керування переписано. Колонка «Читабельно» показує, скільки лишилося: приблизно 20–30 відсотків для поширених open-source обфускаторів і менше 10 відсотків для AfterPack. «Код відкрито» означає, що публічна map повертає оригінал.

Question 4

Що вважається обліковими даними?

Accepted Answer

Значення, яке саме по собі дає доступ: приватні ключі, секрети AWS та інших хмар, секретні ключі Stripe, токени GitHub і GitLab, токени Slack, рядки підключення до баз даних і bearer-токени. Збіги показано замаскованими з 80 символами контексту, щоб ви знайшли їх у файлі. Замініть будь-який ключ, який знайде сканер: обфускація ховає значення від краулера, але той, хто запускає код, усе одно дістанеться до значення, яке він використовує.

Question 5

Чому email-адреси та браузерні ключі не впливають на оцінку?

Accepted Answer

Email на сторінці контактів, публічна IP-адреса чи браузерний ключ Google Maps або Firebase публічні за задумом. Коли попередній сканер показував їх як витоки, це було головним джерелом хибних тривог. Тепер email-адреси, feature flags, внутрішні хости й коментарі розробників показано в розділі «Що ваш код розповідає читачу», а IP-адреси та браузерні ключі у згортці під «Обліковими даними», і те, і те з нульовою вагою.

Question 6

Що таке сторонній код і чому він окремо?

Accepted Answer

SDK та бібліотеки, які віддає ваш домен, наприклад аналітичний рекордер чи UI-фреймворк. Їх розпізнають за хостом, шляхом або ліцензійним банером. Жоден обфускатор не повинен переписувати самооновлюваний бандл постачальника, а його читабельність нічого не каже про ваш код, тож сторонні файли наведено в окремому розділі, і вони не враховуються в оцінці.

Question 7

Чому source map — найгірший випадок?

Accepted Answer

Source map пов'язує відданий файл із кодом, який ви написали: назви файлів, коментарі та структура. Якщо map ще й містить оригінальний код, читач завантажує ваш проєкт таким, яким він є у вашому редакторі. Сканер запитує файл .map поруч із кожним із ваших найбільших файлів, незалежно від того, чи є у файлі коментар sourceMappingURL. Насамперед приберіть map із продакшн-збірки або заблокуйте їх на CDN.

Question 8

Як покращити оцінку?

Accepted Answer

Приберіть публічні source map, замініть і приберіть усі облікові дані, а потім пропустіть збірку через AfterPack. Звіт називає ваш фреймворк і показує точну команду встановлення; посібник для фреймворку описує решту. Захищена збірка отримує в цьому сканері понад 90, бо в ній майже нічого не читається і ніщо не веде назад до вихідного коду.

Question 9

Це безкоштовно? Чи можна запустити з терміналу?

Accepted Answer

Так. Без акаунта, три сканування на день з однієї мережі, і те саме сканування через npx afterpack audit у терміналі. Результатами можна ділитися за посиланням. Сторінку пересканують не частіше ніж раз на 30 хвилин; повторне сканування в цьому інтервалі повертає наявний звіт і не зараховується до ліміту.

Question 10

Чи можу я показати, що мій сайт захищено?

Accepted Answer

Так. Бейдж AfterPack показує Protected by AfterPack, доки останнє сканування це підтверджує: вихід AfterPack у власному коді сайту, жодних публічних source maps чи облікових даних, оцінка A. Інакше він показує останні бали або not graded, доки жодне сканування не оцінило сайт. На кожній сторінці результатів є фрагменти для футера й README.

Чи може хтось прочитати вихідний код вашого сайту?

Сканер безпеки: FAQ