Kapitel 1
Umfang einer öffentlichen URL
- 01
Kanonisches Ziel bestätigen
Öffnen Sie genau den öffentlichen Host und Pfad, den Sie veröffentlichen möchten. Folgen Sie Weiterleitungen und erfassen Sie das endgültige Ziel, bevor Sie die Evidenz verwenden.
- 02
Erreichbare Flächen erfassen
Prüfen Sie das Hauptdokument, erreichbare öffentliche Seiten, geladene Assets, Response Header und sichtbares Browserverhalten. Diese Flächen kann ein öffentlicher Scan beobachten.
- 03
Beobachtungsgrenze festhalten
Bewahren Sie normalisiertes Ziel, Scan Zeitpunkt und öffentlichen Modus mit dem Bericht auf. Ein späterer Release, eine private Route oder ein anderer Host liegen außerhalb dieser Evidenzgrenze.
Vor dem Fortfahren prüfen
- Öffentliche Response Evidenz
- Erreichbare Seiten und Assets
- Kein Beleg für verborgene Systeme
Kapitel 2
Repository und Backend Umfang
- 01
Vorgesehene Revision verbinden
Wählen Sie Organisation, Repository und genau den Branch oder die Revision, aus der der Release entstanden ist. Eine andere Revision kann keine Aussagen über die veröffentlichte Anwendung stützen.
- 02
Zugriffsgrenze prüfen
Bestätigen Sie, dass die Provider Berechtigung schreibgeschützt und auf das vorgesehene Repository begrenzt ist. Entfernen Sie organisationsweiten oder ungenutzten Zugriff vor dem Snapshot.
- 03
Backend Prüfungen separat autorisieren
Lesen Sie Ziel, Methode und Grenzen jeder Backend Prüfung. Starten Sie sie nur, wenn die Autorisierung genau diese Aktion und Umgebung abdeckt.
Vor dem Fortfahren prüfen
- Vorgesehene Revision verbinden
- Provider Berechtigungen prüfen
- Nicht benötigten Zugriff trennen
Kapitel 3
Unbekannt bleibt unbekannt
- 01
Jeden unbekannten Bereich finden
Lesen Sie die Berichtsabdeckung und identifizieren Sie Aussagen, die durch die aktuelle Evidenz nicht gestützt werden. Lassen Sie sie sichtbar, statt fehlende Evidenz als bestanden zu behandeln.
- 02
Fehlende Evidenz bestimmen
Entscheiden Sie, ob ein Repository Snapshot, eine ausdrücklich autorisierte Backend Prüfung oder eine manuelle Prüfung die Frage beantworten kann. Erweitern Sie den Umfang nicht stillschweigend.
- 03
Sensible Abläufe eskalieren
Nutzen Sie qualifizierte manuelle Prüfung für Authentifizierung, Berechtigungen, Zahlungen, sensible Datenflüsse und destruktive Szenarien. Erfassen Sie diese Prüfung als separate Entscheidungsquelle.
Vor dem Fortfahren prüfen
- Fehlende Abdeckung gilt nie als bestanden
- Aktive Prüfungen benötigen separate Berechtigung
- Bei unklarem Umfang stoppen