vi
ShopNexus – Giá tốt, gần bạn, chốt nhanh!
Nền tảng thương mại điện tử C2C uy tín hàng đầu, kết nối người mua và người bán một cách an toàn, minh bạch và tiện lợi.
Lĩnh vựcNguồn gốcXếp hạng toàn cầuXếp hạng tại 
Cập nhật lúc Điểm càng cao, hệ thống càng ghi nhận được nhiều biện pháp bảo vệ quan sát từ bên ngoài. Trang này không nhằm chứng nhận website uy tín, hợp pháp hay hoàn toàn không có lỗ hổng.
Tính đến 00:47 ngày 24/8/2026, shopnexus.hopto.org đạt 64,7/100 điểm an toàn (đạt hạng D – “Cần cải thiện”). Hệ thống quét tự động của CyStack ghi nhận 14 vấn đề cần xem xét sau khi kiểm tra 87,7% hạng mục. Chủ sở hữu website nên ưu tiên khắc phục “Mức độ công khai của dịch vụ quản trị”, sau đó rà soát các mục còn lại theo mức độ ảnh hưởng.
CyStack chưa ghi nhận shopnexus.hopto.org hay hạ tầng liên quan trong bất kỳ danh sách cảnh báo lừa đảo, phishing hoặc mã độc nào tại thời điểm quét, sau khi đối chiếu 5 nguồn danh tiếng trực tuyến. Kết quả này phản ánh quan sát từ bên ngoài, không đảm bảo website an toàn tuyệt đối và không xác nhận tư cách pháp lý hay uy tín của tổ chức.
So sánh nhanh mức an toàn của từng nhóm hạng mục đã được đánh giá.
Câu hỏi thường gặp
Chứng thư SSL hợp lệ vẫn chưa đủ để khẳng định shopnexus.hopto.org là website an toàn, uy tín hay không có dấu hiệu lừa đảo. Để đánh giá toàn diện hơn, báo cáo còn kiểm tra phishing và mã độc, email lộ lọt, IP và cổng mở, tên miền phụ, công nghệ cùng các CVE có thể liên quan đến phiên bản ghi nhận được.
shopnexus.hopto.org đang dùng chứng thư SSL hợp lệ tại thời điểm đánh giá, có hiệu lực đến ngày 23 tháng 10, 2026. Trạng thái này có thể thay đổi khi chứng thư hết hạn hoặc máy chủ đổi cấu hình.
Xem HTTPS và chứng thưNguồn dữ liệu
CyStack tổng hợp kết quả quét từ các hệ thống giám sát an ninh mạng nội bộ, bao gồm CyStack VulnScan và CyStack Threat Intelligence, cùng các nguồn dữ liệu công khai trên Internet. Quá trình đánh giá chỉ quan sát và phân tích thông tin sẵn có, không đăng nhập trái phép, thử mật khẩu, gửi mã khai thác hay làm thay đổi, gián đoạn hệ thống được đánh giá.
Giải pháp CyStack VulnScan liên tục phát hiện tài sản, xác minh lỗ hổng và giúp đội ngũ bảo mật ưu tiên khắc phục trên toàn doanh nghiệp.
Có 3 tiêu chí không đạt hoặc cảnh báo có ảnh hưởng lớn nhất tới kết quả của shopnexus.hopto.org.
Vì sao cần quan tâm
Dịch vụ quản trị từ xa như RDP, VNC, Docker, Kubernetes và bảng điều khiển là mục tiêu có giá trị cao. Khi mở công khai, bất kỳ ai trên Internet cũng có thể thử mật khẩu hoặc khai thác dịch vụ chưa được vá.
Nên làm gì
Loại bỏ truy cập trực tiếp từ Internet và yêu cầu VPN, cổng truy cập được bảo vệ chặt hoặc mạng nguồn tin cậy; đồng thời bật MFA khi dịch vụ hỗ trợ.
Bằng chứng và phạm vi kiểm tra
Vì sao cần quan tâm
Cơ sở dữ liệu và cache thường chứa thông tin nhạy cảm và chỉ được ứng dụng nội bộ sử dụng. Truy cập trực tiếp từ Internet khiến tấn công mật khẩu hoặc lỗi cấu hình dễ dẫn tới lộ dữ liệu hơn.
Nên làm gì
Chỉ lắng nghe trên giao diện mạng riêng, chỉ cho phép các hệ thống ứng dụng cần thiết kết nối và yêu cầu xác thực mạnh cùng mã hóa.
Vì sao cần quan tâm
Content Security Policy (CSP) giới hạn nguồn được phép cung cấp script, style, frame và nội dung khác cho trình duyệt. Chính sách chặt chẽ giúp giảm tác động nếu kẻ tấn công chèn được nội dung vào trang.
Nên làm gì
Chỉ khai báo các nguồn ứng dụng thực sự cần, kiểm thử chính sách trước khi kích hoạt và hạn chế quy tắc ký tự đại diện (*) quá rộng, unsafe-inline cùng unsafe-eval.
Chỉ gồm các tiêu chí không đạt và cảnh báo. Các tiêu chí chưa đủ bằng chứng được tách riêng bên dưới.
Kết quả kiểm tra
Phát hiện dịch vụ quản trị công khai đã được xác nhận qua phản hồi dịch vụ: 14.234.70.80:22 (ssh).
Vì sao cần quan tâm
Dịch vụ quản trị từ xa như RDP, VNC, Docker, Kubernetes và bảng điều khiển là mục tiêu có giá trị cao. Khi mở công khai, bất kỳ ai trên Internet cũng có thể thử mật khẩu hoặc khai thác dịch vụ chưa được vá.
Nên làm gì
Loại bỏ truy cập trực tiếp từ Internet và yêu cầu VPN, cổng truy cập được bảo vệ chặt hoặc mạng nguồn tin cậy; đồng thời bật MFA khi dịch vụ hỗ trợ.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Phát hiện dịch vụ kho dữ liệu công khai đã được xác nhận qua phản hồi dịch vụ: 14.234.70.80:5432 (postgresql).
Vì sao cần quan tâm
Cơ sở dữ liệu và cache thường chứa thông tin nhạy cảm và chỉ được ứng dụng nội bộ sử dụng. Truy cập trực tiếp từ Internet khiến tấn công mật khẩu hoặc lỗi cấu hình dễ dẫn tới lộ dữ liệu hơn.
Nên làm gì
Kết quả kiểm tra
Phản hồi HTML trang gốc được kiểm tra không có header Content-Security-Policy.
Vì sao cần quan tâm
Content Security Policy (CSP) giới hạn nguồn được phép cung cấp script, style, frame và nội dung khác cho trình duyệt. Chính sách chặt chẽ giúp giảm tác động nếu kẻ tấn công chèn được nội dung vào trang.
Nên làm gì
Kết quả kiểm tra
Không tìm thấy bản ghi DMARC cho tên miền email có thể đăng ký.
Vì sao cần quan tâm
DMARC cho phép chủ tên miền hướng dẫn nơi nhận xử lý thư khi địa chỉ From hiển thị không được SPF hoặc DKIM xác minh. Nếu thiếu DMARC, kẻ tấn công có nhiều cơ hội giả mạo tên miền trong email lừa đảo.
Nên làm gì
Kết quả kiểm tra
Phản hồi HTML trang gốc được kiểm tra không có giới hạn CSP frame-ancestors hoặc X-Frame-Options có hiệu lực.
Vì sao cần quan tâm
Website khác có thể nhúng trang này vào một frame bị che hoặc gây hiểu nhầm để lừa người dùng bấm vào hành động ngoài ý muốn. Quy tắc frame cho trình duyệt biết website nào được phép nhúng trang.
Kết quả kiểm tra
Phản hồi trang gốc được kiểm tra không đặt X-Content-Type-Options thành nosniff.
Vì sao cần quan tâm
Nếu thiếu nosniff, trình duyệt có thể tự đoán loại tệp và xử lý nội dung tưởng như vô hại thành mã có thể chạy. Khi đó, một Content-Type sai có thể trở thành vấn đề bảo mật.
Nên làm gì
Kết quả kiểm tra
Phản hồi HTTPS không có chính sách HSTS có hiệu lực.
Vì sao cần quan tâm
HTTP Strict Transport Security (HSTS) yêu cầu trình duyệt tự động dùng HTTPS trong các lần truy cập sau. Cơ chế này giảm nguy cơ người dùng bị chuyển xuống kết nối không mã hóa.
Nên làm gì
Sau khi xác nhận mọi trang cần thiết hoạt động qua HTTPS, hãy gửi header Strict-Transport-Security trên tất cả phản hồi HTTPS.
Kết quả kiểm tra
Không tìm thấy bản ghi SPF cho tên miền email có thể đăng ký.
Vì sao cần quan tâm
SPF liệt kê các hệ thống được phép gửi email thay mặt tên miền. Nếu thiếu SPF, nơi nhận có ít căn cứ hơn để phân biệt thư hợp lệ với thư giả mạo.
Nên làm gì
Công bố một bản ghi TXT SPF bao gồm đầy đủ các dịch vụ gửi thư hợp lệ và không cho phép nguồn ngoài dự kiến.
Kết quả kiểm tra
Phát hiện dịch vụ ngoài dự kiến công khai đã được xác nhận qua phản hồi dịch vụ: 14.234.70.80:7687 (http).
Vì sao cần quan tâm
Mọi dịch vụ đang mở đều có thể bị phát hiện, tấn công và cần được cấu hình, giám sát, vá lỗi. Dịch vụ không có mục đích công khai rõ ràng làm tăng rủi ro mà không tạo thêm giá trị.
Nên làm gì
Kết quả kiểm tra
Phản hồi HTML trang gốc được kiểm tra không có header Permissions-Policy rõ ràng; danh sách cho phép mặc định của trình duyệt vẫn áp dụng riêng cho từng tính năng.
Vì sao cần quan tâm
Permissions-Policy có thể giới hạn thêm các tính năng trình duyệt như camera, microphone và vị trí cho trang cùng nội dung được nhúng. Mỗi tính năng đã có danh sách cho phép mặc định do trình duyệt quy định, vì vậy thiếu header không có nghĩa mọi tính năng đều không bị giới hạn.
Kết quả kiểm tra
Phản hồi HTML trang gốc được kiểm tra không có header Referrer-Policy rõ ràng; trình duyệt hiện đại thường mặc định áp dụng strict-origin-when-cross-origin.
Vì sao cần quan tâm
Khi người dùng mở một liên kết, trình duyệt có thể gửi thông tin về URL trước đó tới website đích. Trình duyệt hiện đại mặc định dùng strict-origin-when-cross-origin khi không có header, vì vậy thiếu header là thiếu cấu hình tăng cường chứ không chứng minh toàn bộ URL nhạy cảm đã bị lộ.
Kết quả kiểm tra
Không tìm thấy bản ghi MX rõ ràng hoặc một bản ghi Null MX duy nhất; máy gửi SMTP có thể dùng địa chỉ A/AAAA của tên miền nên chủ đích nhận email còn mơ hồ.
Vì sao cần quan tâm
Kiểm tra này xác định tên miền có công bố rõ chủ đích nhận email bằng một hay nhiều tuyến MX rõ ràng hoặc một Null MX duy nhất hay không. Tính hợp lệ và khả năng phân giải của đích MX được đánh giá riêng ở kiểm tra tình trạng tuyến nhận thư.
Kết quả kiểm tra
Không tìm thấy quy tắc CAA issue hoặc issuewild để giới hạn nhà cung cấp chứng thư.
Vì sao cần quan tâm
Bản ghi CAA quy định nhà cung cấp chứng thư nào được phép cấp chứng thư cho tên miền. Cấu hình này giúp giảm nguy cơ một nhà cung cấp ngoài dự kiến cấp chứng thư.
Nên làm gì
Kết quả kiểm tra
Không tìm thấy ủy quyền DS của DNSSEC.
Vì sao cần quan tâm
DNSSEC thêm chữ ký số để hệ thống phân giải phát hiện phản hồi DNS giả mạo. Kiểm tra nhanh này tìm bản ghi DS tại vùng cha; kết quả đạt xác nhận tín hiệu ủy quyền đó nhưng không xác thực toàn bộ chuỗi chữ ký.
Nên làm gì
Kết quả kiểm tra
Chưa thể kết luận trạng thái đã biết bị khai thác vì cách biểu diễn phiên bản chưa cho phép xác định chắc chắn khả năng áp dụng của CVE.
Vì sao cần quan tâm
Đối chiếu với danh mục Known Exploited Vulnerabilities (KEV) của CISA giúp phân biệt rủi ro lý thuyết với lỗ hổng đã bị khai thác trong thực tế. Tuy nhiên, cần xác định đúng sản phẩm, phiên bản và CVE liên quan trước khi đưa ra kết luận.
Bước tiếp theo
Hoàn tất việc xác minh sản phẩm và phiên bản, sau đó đối chiếu lại các CVE liên quan với danh mục KEV. Chỉ ưu tiên xử lý khẩn cấp theo KEV khi đã xác nhận CVE thực sự áp dụng cho hệ thống.
Thông tin chẩn đoán
Việc đối chiếu sản phẩm, phiên bản và dữ liệu lỗ hổng chưa hoàn tất; đây không phải kết quả sạch.
Bằng chứng và phạm vi kiểm tra
Không hiển thị 14 trường bằng chứng bổ sung tại đây.
Tài liệu tham chiếu
Kết quả kiểm tra
Cách biểu diễn phiên bản chưa cho phép kết luận chắc chắn rằng không có CVE nào có khả năng áp dụng.
Vì sao cần quan tâm
Kiểm tra này chỉ đối chiếu sản phẩm quan sát được khi có phiên bản đáng tin cậy và định danh CPE chính xác, sử dụng dữ liệu áp dụng từ National Vulnerability Database (NVD). Mọi kết quả khớp chỉ là đầu mối, chưa phải lỗ hổng đã xác nhận vì phần mềm cài đặt có thể đã chứa bản vá hoặc khác với phiên bản hiển thị ra Internet.
Thông tin chẩn đoán
Việc đối chiếu sản phẩm, phiên bản và dữ liệu lỗ hổng chưa hoàn tất; đây không phải kết quả sạch.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Lần đánh giá chưa thể xác định liệu đăng ký tên miền còn hiệu lực ngoài ngưỡng cần gia hạn sớm hay không.
Vì sao cần quan tâm
Tên miền hết hạn sẽ ngừng đưa người dùng tới dịch vụ của tổ chức và cuối cùng có thể bị người khác đăng ký. Tên miền sắp hết hạn cũng khiến thời gian xử lý sự cố thanh toán hoặc tài khoản trở nên rất ngắn.
Thông tin chẩn đoán
Nguồn dữ liệu đăng ký tên miền không trả về kết quả đủ tin cậy.
Kết quả kiểm tra
Lần đánh giá chưa thể xác định liệu trạng thái đăng ký không chứa tín hiệu hold, redemption hoặc chờ xóa mà tiêu chí này nhận diện hay không.
Vì sao cần quan tâm
Các trạng thái hạn chế như khóa, chờ khôi phục hoặc chờ xóa có thể làm tên miền ngừng hoạt động. Nếu không xử lý kịp thời, tổ chức có thể mất quyền kiểm soát danh tính website và email.
Thông tin chẩn đoán
Nguồn dữ liệu đăng ký tên miền không trả về kết quả đủ tin cậy.
Kết quả kiểm tra
Lần quét này chưa xác nhận được tên miền phụ nào còn hoạt động của shopnexus.hopto.org. Quá trình thu thập chưa hoàn tất nên không thể kết luận rằng hệ thống không có tên miền phụ.
Vì sao cần quan tâm
Tên chứa các từ như admin, development, staging, VPN, database hoặc monitoring có thể dẫn kẻ tấn công tới hệ thống quan trọng. Chỉ riêng tên gọi chưa chứng minh có lộ lọt nhưng cho biết bề mặt cần được rà soát.
Thông tin chẩn đoán
Việc tìm kiếm tên miền phụ chưa hoàn tất; danh sách hiện có thể chưa đầy đủ.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Lần đánh giá chưa thể xác định liệu tên miền công bố ít nhất hai hostname máy chủ DNS có thẩm quyền; riêng số lượng này không chứng minh khả năng dự phòng nhà cung cấp hoặc mạng hay không.
Vì sao cần quan tâm
Kiểm tra này đếm số tên máy chủ DNS có thẩm quyền được công bố cho tên miền. Ít hơn hai máy chủ tạo ra phụ thuộc rõ ràng vào một máy chủ; từ hai máy chủ trở lên đạt ngưỡng số lượng nhưng không chứng minh các máy chủ dùng mạng độc lập hoặc vẫn khả dụng khi có sự cố.
Thông tin chẩn đoán
Truy vấn DNS cần thiết không trả về kết quả đủ tin cậy.
Kết quả kiểm tra
5 nhà cung cấp có kết quả xác định và 1 nhà cung cấp chưa thể kết luận.
Vì sao cần quan tâm
Mục này cho biết có bao nhiêu dịch vụ danh sách chặn độc lập trả về kết quả rõ ràng. Nguồn không khả dụng chưa được kiểm tra thành công và không thể được xem là kết quả sạch.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Các dấu hiệu công khai từ website và dịch vụ đang mở cho thấy 8 công nghệ.
Vì sao cần quan tâm
Header phản hồi, nội dung trang và các dấu hiệu công khai khác cho biết công nghệ mà dịch vụ có thể đang sử dụng. Quan sát này giúp giải thích bề mặt tấn công nhưng có thể thiếu hoặc sai và không tự chứng minh một lỗ hổng.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không có sản phẩm WAF, CDN hoặc edge nào khớp với tín hiệu thụ động trên phản hồi trang gốc; kết quả này không chứng minh hệ thống không có lớp bảo vệ.
Vì sao cần quan tâm
Kiểm tra này tìm các tín hiệu thụ động giới hạn về Web Application Firewall (WAF), CDN hoặc dịch vụ biên khác. Kết quả khớp gợi ý dịch vụ có hiện diện nhưng không kiểm tra khả năng thực thi; không khớp cũng không chứng minh dịch vụ vắng mặt.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Quan sát 1 sản phẩm có phiên bản; 1 sản phẩm có CPE chính xác và 1 truy vấn hoàn tất.
Vì sao cần quan tâm
Mục này cho biết có bao nhiêu sản phẩm được phát hiện có thông tin phiên bản đáng tin cậy và định danh CPE chính xác để đối chiếu với dữ liệu áp dụng CVE. Sản phẩm chưa thể kiểm tra không được xem là không có lỗ hổng đã biết.
Thông tin chẩn đoán
Việc đối chiếu sản phẩm, phiên bản và dữ liệu lỗ hổng chưa hoàn tất; đây không phải kết quả sạch.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Chứng thư khớp với mục tiêu được yêu cầu.
Vì sao cần quan tâm
Chứng thư phải liệt kê chính xác tên miền người dùng truy cập trong trường Subject Alternative Names (SAN). Nếu không khớp, trình duyệt sẽ cảnh báo vì chứng thư có thể thuộc về một dịch vụ khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Chứng thư tạo được chuỗi tới gốc đáng tin cậy trong kho tin cậy của trình quét.
Vì sao cần quan tâm
Trình duyệt chỉ tin cậy website khi chứng thư có thể được xác minh tới một nhà cung cấp được công nhận. Chứng thư không đáng tin cậy gây cảnh báo và khiến người dùng không thể xác nhận chắc chắn danh tính website.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Bắt tay TLS thành công với một điểm cuối đã phân giải được kiểm tra trên cổng 443.
Vì sao cần quan tâm
Kiểm tra này chỉ xác nhận có thể thiết lập bắt tay TLS với ít nhất một điểm cuối đã phân giải được kiểm tra trên cổng HTTPS hay không. Độ tin cậy, danh tính tên miền, hiệu lực, chuỗi chứng thư, giao thức và độ mạnh mật mã được đánh giá riêng.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Mục tiêu phân giải tới 1 địa chỉ IP công khai.
Vì sao cần quan tâm
DNS công khai kết nối tên miền với các địa chỉ Internet của hệ thống. Bản ghi thiếu hoặc sai có thể làm dịch vụ không truy cập được hoặc đưa lưu lượng tới nhầm hệ thống.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không tìm thấy biểu mẫu mật khẩu trong trang HTML gốc được kiểm tra.
Vì sao cần quan tâm
Nếu trang nhập mật khẩu hoặc địa chỉ nhận dữ liệu form dùng HTTP, bên quan sát đường truyền có thể đọc hoặc thay đổi mật khẩu được gửi.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không phát hiện dịch vụ chia sẻ tệp công khai trong tập cổng TCP đã quét.
Vì sao cần quan tâm
Các dịch vụ như SMB, NFS và rsync có thể cho phép đọc hoặc thay đổi tệp chia sẻ và từng có nhiều lỗ hổng nghiêm trọng. Chúng hiếm khi cần nhận kết nối trực tiếp từ Internet công khai.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không phát hiện dịch vụ plaintext lỗi thời công khai trong tập cổng TCP đã quét.
Vì sao cần quan tâm
Các dịch vụ cũ như Telnet, FTP và giao thức email hoặc thư mục không mã hóa có thể gửi mật khẩu, dữ liệu ở dạng đọc được. Bên quan sát đường truyền có thể thu thập các thông tin này.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Yêu cầu kiểm tra phản hồi trang gốc không thấy phản chiếu nguồn thử nghiệm tùy ý hoặc kết hợp nguồn ký tự đại diện với thông tin xác thực.
Vì sao cần quan tâm
CORS quyết định website nào được phép đọc phản hồi của dịch vụ trong trình duyệt người dùng. Quy tắc tin cậy nguồn tùy ý, đặc biệt khi kèm cookie đăng nhập, có thể làm lộ dữ liệu riêng tư cho website khác.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Chứng thư hiện còn hiệu lực và hết hạn lúc 2026-10-22T19:14:12Z.
Vì sao cần quan tâm
Chứng thư chỉ hoạt động trong khoảng thời gian hiệu lực. Chứng thư đã hết hạn, chưa có hiệu lực hoặc sắp hết hạn có thể gây cảnh báo trình duyệt và làm gián đoạn website hoặc API.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Chứng thư dùng ECDSA-SHA384 với khóa công khai 256 bit.
Vì sao cần quan tâm
Khóa công khai và thuật toán chữ ký bảo vệ chứng thư khỏi bị giả mạo. Khóa quá ngắn hoặc chữ ký dùng thuật toán lỗi thời sẽ chống lại các kỹ thuật tấn công hiện đại kém hơn.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
TLS 1.0 và TLS 1.1 bị từ chối có kết luận, trong khi ít nhất một phiên bản TLS hiện đại được chấp nhận trên điểm cuối được kiểm tra.
Vì sao cần quan tâm
TLS 1.0 và TLS 1.1 sử dụng thiết kế bảo mật lỗi thời và không còn được các tiêu chuẩn hiện đại chấp nhận. Việc tiếp tục bật chúng cho phép sử dụng phương thức kết nối yếu hơn.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không phát hiện đồng thuận abuse-list độc lập trong 5 nhà cung cấp có kết quả xác định.
Vì sao cần quan tâm
Các nhà cung cấp bảo mật và email duy trì danh sách chặn dựa trên DNS cho địa chỉ IP liên quan tới spam, mã độc hoặc hệ thống bị xâm nhập. Nhiều danh sách độc lập cùng gắn cờ là lý do rõ ràng để điều tra, dù IP dùng chung đôi khi có thể ảnh hưởng tới khách hàng không liên quan.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Phản hồi trang gốc được kiểm tra không đặt cookie nên thuộc tính cookie này không áp dụng.
Vì sao cần quan tâm
HttpOnly ngăn script trong trình duyệt đọc trực tiếp cookie. Thuộc tính này không khắc phục lỗi chèn script nhưng khiến việc đánh cắp cookie phiên và xác thực khó hơn.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Phản hồi trang gốc được kiểm tra không đặt cookie nên thuộc tính cookie này không áp dụng.
Vì sao cần quan tâm
Thuộc tính Secure ngăn trình duyệt gửi cookie qua HTTP không mã hóa. Kiểm tra giới hạn này chấm các cookie có tên giống cookie phiên hoặc xác thực; cookie khác được ghi nhận làm bối cảnh nhưng riêng chúng không chứng minh dữ liệu nhạy cảm bị lộ.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không đánh giá việc thực thi DMARC vì không có chính sách DMARC sử dụng được về cấu trúc.
Vì sao cần quan tâm
Chính sách quarantine hoặc reject yêu cầu nơi nhận đưa thư đáng ngờ vào spam hoặc từ chối thư. Chính sách chỉ theo dõi (p=none) ghi nhận vấn đề nhưng không yêu cầu chặn thư giả mạo.
Tài liệu tham chiếu
Kết quả kiểm tra
Không đánh giá cấu trúc DMARC vì không có bản ghi DMARC.
Vì sao cần quan tâm
Kiểm tra giới hạn này xác thực cấu trúc cốt lõi và các tag bắt buộc của bản ghi DMARC tìm được qua truy vấn cây tên miền. Kiểm tra không xác minh việc gửi hoặc ủy quyền cho mọi địa chỉ nhận báo cáo bên ngoài.
Tài liệu tham chiếu
Kết quả kiểm tra
Không tìm thấy tài nguyên chủ động hoặc đích gửi form qua HTTP trong trang HTTPS gốc được kiểm tra.
Vì sao cần quan tâm
Trang HTTPS vẫn có thể tải script, frame, style hoặc form qua HTTP không mã hóa. Kẻ tấn công trên đường truyền có thể thay đổi nội dung đó và làm mất an toàn của toàn bộ trang.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Máy chủ cung cấp 4 chứng thư.
Vì sao cần quan tâm
Máy chủ phải cung cấp các chứng thư trung gian nối chứng thư website với nhà cung cấp đáng tin cậy. Nếu thiếu, một số trình duyệt, thiết bị di động hoặc API client có thể từ chối kết nối.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Trang gốc HTTP chuyển hướng sang HTTPS trong phạm vi tên miền mục tiêu.
Vì sao cần quan tâm
Người dùng có thể nhập địa chỉ bắt đầu bằng HTTP hoặc mở một liên kết cũ. Chuyển hướng ngay sang HTTPS giúp phần còn lại của phiên truy cập không tiếp tục qua kết nối không mã hóa.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Trang gốc không khớp với mẫu liệt kê thư mục tự động phổ biến.
Vì sao cần quan tâm
Khi web server tự động liệt kê thư mục, người dùng có thể tìm thấy các tệp chưa từng được liên kết công khai, gồm bản sao lưu, log hoặc tệp phục vụ triển khai.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không tìm thấy bản ghi phơi nhiễm thông tin đăng nhập phù hợp trong dữ liệu tình báo hiện đã lập chỉ mục. Kết quả này không chứng minh rằng hoàn toàn không có phơi nhiễm.
Vì sao cần quan tâm
Dữ liệu tình báo infostealer có thể chứa thông tin đăng nhập liên quan tới tên miền, nhưng không chứng minh tài khoản còn hiện hành, hợp lệ hoặc vẫn đang bị lộ.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Phản hồi trang gốc được kiểm tra không đặt cookie nên thuộc tính cookie này không áp dụng.
Vì sao cần quan tâm
SameSite giới hạn việc trình duyệt gửi cookie trong yêu cầu bắt đầu từ website khác. Cơ chế này giúp ngăn website khác âm thầm tạo yêu cầu đã xác thực thay mặt người dùng.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không đánh giá mức bảo vệ SPF vì không có bản ghi SPF sử dụng được về cấu trúc.
Vì sao cần quan tâm
Quy tắc cuối của SPF cho nơi nhận biết mức độ tin cậy khi từ chối nguồn gửi không có trong danh sách. Chính sách cho phép rộng khiến thư giả mạo dễ được xem là hợp lệ hơn so với hard fail (-all).
Tài liệu tham chiếu
Kết quả kiểm tra
Không đánh giá cấu trúc SPF vì không có bản ghi SPF có thể sử dụng.
Vì sao cần quan tâm
Kiểm tra giới hạn này xác thực cấu trúc cơ bản của bản ghi SPF được công bố, quy tắc không trùng bản ghi và các cơ chế truy vấn DNS được khai báo trực tiếp. Kiểm tra không mở rộng đệ quy mọi include hoặc redirect nên kết quả đạt không phải là đánh giá SPF đầy đủ.
Tài liệu tham chiếu
Kết quả kiểm tra
Không có đích MX rõ ràng được công bố nên không có tuyến nhận thư đã khai báo để xác thực.
Vì sao cần quan tâm
Bản ghi MX chuyển email đến đúng máy chủ nhận thư. Bản ghi lỗi có thể làm gián đoạn việc nhận thư; Null MX cho biết rõ tên miền không nhận email.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không tìm thấy dấu hiệu phiên bản phần mềm có thể nhận diện trong các header hoặc metadata trang giới hạn của phản hồi trang gốc được kiểm tra.
Vì sao cần quan tâm
Phiên bản chính xác của web server hoặc framework giúp kẻ tấn công nhanh chóng tìm lỗ hổng đã biết có thể áp dụng. Ẩn phiên bản không thay thế việc vá lỗi, nhưng công khai không cần thiết sẽ cung cấp thông tin hữu ích cho việc nhắm mục tiêu.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không đánh giá độ mạnh chính sách HSTS vì phản hồi trang gốc được kiểm tra không có chính sách HSTS có hiệu lực.
Vì sao cần quan tâm
Giá trị max-age quyết định thời gian trình duyệt ghi nhớ việc phải dùng HTTPS. Thời gian quá ngắn chỉ bảo vệ hạn chế; includeSubDomains bảo vệ mọi tên miền phụ nhưng có thể làm hỏng tên miền phụ chưa hỗ trợ HTTPS.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Kết quả kiểm tra
Không đánh giá báo cáo DMARC vì không có chính sách DMARC sử dụng được về cấu trúc.
Vì sao cần quan tâm
Kiểm tra này tìm ít nhất một đích mailto có thể sử dụng về cú pháp trong rua; kết quả đạt xác nhận đích đó đã được công bố. Kiểm tra không xác minh ủy quyền cho đích bên ngoài hoặc chứng minh báo cáo thực sự được gửi tới và theo dõi.
Tài liệu tham chiếu
Chưa tìm thấy bản ghi gắn với địa chỉ email @shopnexus.hopto.org trong dữ liệu hiện có. Kết quả này không loại trừ những sự cố chưa được ghi nhận.
Xem email lộ lọtĐã nhận diện 12 công nghệ trên shopnexus.hopto.org và đối chiếu đầy đủ 1 phiên bản xác định được; chưa tìm thấy CVE phù hợp với các phiên bản đó. Điều này không có nghĩa toàn bộ website không có lỗ hổng.
Xem công nghệ và CVEGhi nhận được 1 IP công khai và 5 cổng đang mở của shopnexus.hopto.org. Cổng mở không tương đương với việc có lỗ hổng, nhưng chủ sở hữu website nên cập nhật thường xuyên và giới hạn truy cập cho từng dịch vụ công khai.
Xem IP và cổng mởChưa có đủ dữ liệu để đưa ra số lượng tên miền phụ công khai của shopnexus.hopto.org.
Xem tên miền phụBằng chứng và phạm vi kiểm tra
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Chỉ lắng nghe trên giao diện mạng riêng, chỉ cho phép các hệ thống ứng dụng cần thiết kết nối và yêu cầu xác thực mạnh cùng mã hóa.
Bằng chứng và phạm vi kiểm tra
Chỉ khai báo các nguồn ứng dụng thực sự cần, kiểm thử chính sách trước khi kích hoạt và hạn chế quy tắc ký tự đại diện (*) quá rộng, unsafe-inline cùng unsafe-eval.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Công bố bản ghi DMARC tại _dmarc, bắt đầu bằng việc thu thập báo cáo và xác nhận các nguồn gửi hợp lệ trước khi áp dụng chính sách chặn.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Nên làm gì
Thiết lập frame-ancestors trong CSP chỉ cho các website tin cậy cần thiết và giữ X-Frame-Options cho trình duyệt cũ khi phù hợp.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Gửi X-Content-Type-Options: nosniff trên mọi phản hồi và trả về Content-Type chính xác.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Xác nhận đơn vị phụ trách và mục đích của từng cổng mở, sau đó dừng hoặc dùng firewall chặn mọi dịch vụ không chủ đích công khai.
Bằng chứng và phạm vi kiểm tra
Nên làm gì
Chỉ cho phép từng tính năng nhạy cảm trên các trang và nguồn tin cậy thực sự cần dùng; tắt các tính năng còn lại.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Nên làm gì
Sử dụng strict-origin-when-cross-origin hoặc Referrer-Policy chặt hơn, đồng thời không đặt thông tin bí mật trong URL.
Phạm vi của tiêu chí
Tiêu chí này chỉ đánh giá phản hồi và nội dung của trang chủ mà hệ thống truy cập được; các trang hoặc luồng đăng nhập khác có thể có cấu hình khác.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Nên làm gì
Công bố bản ghi MX khi tên miền nhận email hoặc một Null MX duy nhất khi chủ động không nhận email; sau đó xử lý riêng mọi phát hiện về tình trạng đích MX.
Bằng chứng và phạm vi kiểm tra
Công bố bản ghi CAA chỉ cho phép các nhà cung cấp chứng thư mà tổ chức thực sự sử dụng.
Bằng chứng và phạm vi kiểm tra
Tài liệu tham chiếu
Ký vùng DNS, công bố bản ghi DS tương ứng qua nhà đăng ký và theo dõi chuỗi chữ ký sau mỗi lần thay đổi khóa.
Tài liệu tham chiếu
Không hiển thị 14 trường bằng chứng bổ sung tại đây.
Tài liệu tham chiếu
Không hiển thị 14 trường bằng chứng bổ sung tại đây.
Tài liệu tham chiếu
Tài liệu tham chiếu
Không hiển thị 7 trường bằng chứng bổ sung tại đây.
Các đánh giá hoàn tất gần đây, ưu tiên website cùng lĩnh vực, quốc gia hoặc mức an toàn để bạn dễ so sánh.
