TRANSPARENS / METOD VERSION 1
Observationer, inte garantier.
En tydlig gräns mellan vad vi har sett och vad vi faktiskt vet.
Det som undersöks
Plattformen gör passiva API-uppslag i Shodan och DNSDumpster. Den skickar inga skannings- eller exploateringsanrop mot företagets system. API-data kan vara ofullständiga eller gamla. Företagsnamnet används som etikett; operatören måste själv verifiera domäntillhörigheten.
Shodan
Sökningen avgränsas till domänens värdnamn. Hämtade tjänster inkluderas bara om ett värdnamn matchar domänen eller en underdomän. Poster utan sådan koppling exkluderas. Vi hämtar ett konfigurerat antal sidor, inte automatiskt hela databasen.
DNSDumpster
Första sidan av domänuppslaget används. Antalet poster begränsas av abonnemanget. Bara A-poster inom den angivna domänen räknas som domänvärdar. MX/NS kan tillhöra en extern leverantör. DNS-posternas frånvaro är inte bevis på saknat skydd.
Fyndindex, inte säkerhetsbetyg
Indexet är summan av 20 poäng per högprioriterad indikator och 8 per medelhög indikator, högst 100. Flera CVE-indikationer på en tjänst kan ge flera fynd. Indexet är inte CVSS, en sannolikhet för intrång eller en jämförbar mognadsmätning. Utan observerade domänvärdar beräknas inget index. Noll betyder enbart att reglerna inte gav fynd i det hämtade underlaget.
- Hög prioritet: observerad fjärråtkomst (23, 3389, 5900, 5985, 5986), databastjänst (1433, 1521, 3306, 5432, 6379, 9200, 27017, 11211), möjlig CVE eller uttrycklig SPF +all.
- Medelhög prioritet: äldre SSL/TLS-protokoll rapporterade som stödda eller certifikat med passerat utgångsdatum i källdata.
- Shodans CVE-indikationer och exponering på delad hosting behöver alltid manuell verifiering. Öppna portar är inte i sig bevis på sårbarhet.
Det som inte verifieras
Ingen automatisk kontroll av KYC, sanktioner, verkliga huvudmän, PEP, personrelationer, IP-reputation eller NIS2-efterlevnad görs. DKIM, DMARC, DNSSEC, MTA-STS, TLS-RPT, HTTP-härdning och fullständig TLS-konfiguration verifieras inte av dessa uppslag. Inga sådana områden markeras som godkända.
Publicering och integritet
Fullständigt tekniskt underlag är endast tillgängligt för granskningens skapare, granskare och administratörer. En granskare eller administratör måste uttryckligen godkänna den publika sammanfattningen. Den innehåller företagsnamn, domän, kategoriserade fyndantal, index, källstatus, datum och begränsningar – inte IP-adresser, portar eller CVE-detaljer. Lägg inte personuppgifter i företagsnamnet.
En avpublicering tar bort rapporten från den här tjänstens publika API och rapportsida. Huvudsidan och andra mottagare måste synkronisera bort tidigare kopior. Lagringstid, rättslig grund, informationsskyldighet och eventuella rättelseärenden behöver hanteras av den personuppgiftsansvarige.