search

SIWECOS / siwecos-business-layer

SIWECOS Main API and Business Layer Application
https://siwecos.de
0 stars 1 forks source link

Anpassung Domain mainUrl auf Crawler-Ergebnis / sonst http #163

Closed Skeeve closed 4 years ago

Skeeve commented 4 years ago

Es geht um die Domains mit domain id 1685 und 1686 in der Prod DB.

seit geraumer Zeit bemerke ich, dass der Sicherheitsbericht von zwei meiner registrierten Websites […] nicht abgerufen werden kann. Ich bekomme stattdessen die Fehlermeldung "Fehler beim Abruf der Scan-Ergebnisse, bitte versuchen Sie es später erneut". Erneute Versuche führen aber zum gleichen Ergebnis.

Diese beiden Seiten haben keine Transportverschlüsselung (HTTPS), werden jedoch in der Übersicht als solche geführt. Der Versuch, sie ohne Transportverschlüsselung hinzuzufügen, schlägt ebenfalls fehl. Da gibt es die Fehlermeldung "Die Domain konnte nicht hinzugefügt werden, bitte versuchen Sie es später erneut".

Jetzt wüsste ich doch gerne, wie sich die Sache beheben lässt, sodass die Seiten wieder regelmäßig geprüft werden und ich den Sicherheitsbericht einsehen kann.

Skeeve commented 4 years ago

Ein weiterer Fall ist aufgetreten. Siehe bitte die Support Mails.

Skeeve commented 4 years ago

Nachtrag: Gescannt wird. Die Scans haben aber ERROR auf true. Vermutlich u.a. weil TLS ERROR auf true hat.

Siehe

 type      | finished            | success | score   | scan_id
-----------|---------------------|---------|---------|---------
 automatic | 2019-09-29 01:32:32 |  ERROR  |      34 |  108078
 manual    | 2019-09-28 17:03:34 |  ERROR  |      34 |  107610

 type      | finished            | success | score   | scan_id
-----------|---------------------|---------|---------|---------
 automatic | 2019-09-29 04:14:22 |  ERROR  |      51 |  111617
 free      | 2019-09-28 19:03:15 |  ERROR  |      29 |  107618
 manual    | 2019-09-28 19:43:50 |  ERROR  |      51 |  107622

 type      | finished            | success | score   | scan_id
-----------|---------------------|---------|---------|---------
 automatic | 2019-09-29 01:32:36 |  ERROR  |      34 |  108079
 manual    | 2019-09-28 15:50:13 |  ERROR  |      34 |  107603
Lednerb commented 4 years ago

Wir Scannen keine nicht-https Seiten. Diese übertragen Daten unverschlüsselt und sind somit ohnehin als "unsicher" zu Kennzeichnen.

Es müsste allerdings in der Tat ein Ergebnis, zumindest ein Hinweis angezeigt werden, warum die Scans nicht abgerufen werden können.

Für die Reports werden momentan lediglich nicht-fehlgeschlagene Scans ausgegeben. Dies wurde eingebaut, um ein drop des Scores zu verhindern, sofern lediglich ein Scanner ein Problem meldete.

Muss weiter evaluiert werden, wie wir hier am besten vorgehen können.

Skeeve commented 4 years ago

Bisher hatten wir sie gescannt. Wir sollten das auch weiterhin machen.

Vorschlag: Maximalscore kann bei nicht-https nicht mehr als 50% erreichen

Frage: Wieviele der registrierten Domains sind nicht-https?

Skeeve commented 4 years ago

Blöd ist auch: Die Siegel der sites werden angezeigt. Ein Klick aufs Siegel führt aber zur Zertifikatsseite die da behauptet, wir scannen nicht.

Lednerb commented 4 years ago

Blöd ist auch: Die Siegel der sites werden angezeigt. Ein Klick aufs Siegel führt aber zur Zertifikatsseite die da behauptet, wir scannen nicht.

Irrelevant, da niemand das Siegel in die Seite einbinden wird, wenn er keine Scans durchführen kann.

Lednerb commented 4 years ago

Bisher hatten wir sie gescannt. Wir sollten das auch weiterhin machen.

Seit v2 nicht mehr, vorher nur, da wir URLs anstatt Domain registriert hatten.

Andernfalls müssten wir vor einem Scan-Start prüfen, welches Protokoll verfügbar ist oder jeweils mit der http Variante starten und dann, sofern die Seite korrekt eingerichtet ist, automatisch die https Variante Scannen.

Wird aber bei fehlenden Redirects direkt zu einem starken score drop führen.

Lednerb commented 4 years ago

Frage: Wieviele der registrierten Domains sind nicht-https?

Adhoc nicht ermittelbar.

Skeeve commented 4 years ago

Irrelevant, da niemand das Siegel in die Seite einbinden wird, wenn er keine Scans durchführen kann.

Nein, da bereits registrierte nur-http-Nutzer das Siegel bereits eingebunden haben. Siehe die genannten domain-ids. Den nutzer gibt's schon lange 2019-02-18 19:29:29

Andernfalls müssten wir vor einem Scan-Start prüfen, welches Protokoll verfügbar ist

Genau so hatte ich die Diskussion damals in Erinnerung: https-Prüfen. Wenn vorhanden okay, wenn nicht mit http weiter.