評価の範囲と所有確認

Spectra が何を評価し、どこまで接続するかを説明します。

評価の範囲

証明書、DNS、公開情報など、攻撃者が最初に調べる範囲を評価します。社内ネットワークへの侵入テストや、認証後のアプリケーション脆弱性診断に代わるものではありません。その領域は専門の脆弱性診断サービスが担います。

Free を含むすべてのプランで、同じ項目を評価します。各項目の配点と判定基準は、サインイン後の評価項目一覧に掲載しています。

ドメイン名の管理権と、その名前が指すサーバーの管理権は別のものです。この区別をしない評価サービスは、第三者への攻撃に悪用されるおそれがあります。そのため、能動検査の前に二段階の確認を行います。

名前を確認します。利用者ごとに異なるトークンを TXT レコードで公開していただきます。ある利用者の証明が、別の利用者の許可として使われることはありません。
```
_posture-challenge  TXT  "posture-verification=…"
```
アドレスを確認します。逆引きが同じドメインに戻ること、またはそのアドレス自身が検証用のファイルを返すこと。いずれかを満たすまで接続しません。
確認できない場合は実行しません。パケットは送信せず、外部の情報源にも照会しません。判定は接続の直前に行うため、確認後にレコードを差し替える手法も通りません。

レコードを削除すると、次回の評価から能動検査は実行されません。内部ネットワークのアドレスも同様に対象外とします。