اكتشف كلود ميثوس أكثر من 500 يوم صفر: قم بأتمتة عمليات التحقق من الأمان الخاصة بك

الفحص رقم 1: انتهاء صلاحية شهادة SSL

تؤدي شهادات SSL منتهية الصلاحية إلى انقطاع الخدمة وتقتل ثقة المستخدم. لقد كان لدى كل من Stripe وMicrosoft وSpotify الحوادث المتعلقة بالشهادة. يخبرك استدعاء API واحد بعدد الأيام المتبقية لديك.

curl -s -X POST https://api.botoi.com/v1/ssl-cert/expiry \\
  -H "Content-Type: application/json" \\
  -d '{"domain": "your-app.com"}'

{
  "success": true,
  "data": {
    "domain": "your-app.com",
    "issuer": "Let's Encrypt",
    "valid_from": "2026-02-01T00:00:00.000Z",
    "valid_to": "2026-05-02T00:00:00.000Z",
    "days_remaining": 23,
    "expired": false,
    "expiring_soon": true
  }
}

ال expiring_soon العلم يقلب إلى true عندما تكون الشهادة في غضون 30 يومًا من انتهاء الصلاحية. قم بتوجيه هذا إلى تنبيه Slack أو فحص CI.

الفحص رقم 2: التحقق من صحة سجل SPF

يعني سجل نظام التعرف على هوية المرسل (SPF) الذي تم تكوينه بشكل خاطئ أن المهاجمين يمكنهم انتحال رسائل البريد الإلكتروني من نطاقك. تم تذكير إعلان Mythos كل شخص يتجاوز هذا الأمان التعليمات البرمجية: يعد تكوين DNS الخاص بك بمثابة سطح هجوم أيضًا.

curl -s -X POST https://api.botoi.com/v1/dns-security/spf-check \\
  -H "Content-Type: application/json" \\
  -d '{"domain": "your-app.com"}'

{
  "success": true,
  "data": {
    "domain": "your-app.com",
    "has_spf": true,
    "record": "v=spf1 include:_spf.google.com ~all",
    "issues": [
      "SPF record uses ~all (softfail) instead of -all (hardfail)"
    ],
    "score": "B"
  }
}

المشكلات الشائعة التي تكتشفها نقطة النهاية: ~all بدلاً من -all، عدد كبير جدًا من عمليات بحث DNS (يتجاوز حد 10 عمليات بحث)، ومفقود include: توجيهات لمرسلي الطرف الثالث.

الفحص رقم 3: سياسة DMARC

بدون DMARC، لن يكون هناك أي تنفيذ لفحوصات نظام التعرف على هوية المرسل (SPF) وDKIM. يقوم المهاجمون بتمرير رسائل البريد الإلكتروني المخادعة إلى صناديق البريد الوارد تخطي التحقق.

curl -s -X POST https://api.botoi.com/v1/dns-security/dmarc-check \\
  -H "Content-Type: application/json" \\
  -d '{"domain": "your-app.com"}'

بحث policy: "reject" في الرد. أي شيء أقل (none أو quarantine) يعني أن رسائل البريد الإلكتروني المخادعة الواردة من نطاقك لا تزال قادرة على الوصول إلى صناديق البريد الوارد.

الفحص رقم 4: محدد DKIM

يقوم DKIM بتوقيع رسائل البريد الإلكتروني الصادرة باستخدام مفتاح التشفير. وبدون ذلك، لا يمكن لخوادم الاستقبال التحقق من محتوى البريد الإلكتروني هذا لم يتم العبث بها أثناء النقل.

curl -s -X POST https://api.botoi.com/v1/dns-security/dkim-check \\
  -H "Content-Type: application/json" \\
  -d '{"domain": "your-app.com", "selector": "google"}'

قم بتمرير المحدد الذي يستخدمه مزود البريد الإلكتروني الخاص بك (يستخدم Google google، تستخدم مايكروسوفت selector1 و selector2). تتحقق نقطة النهاية من صحة وجود المفتاح العام وأنه صحيح منسق.

الفحص رقم 5: رؤوس أمان HTTP

رؤوس مفقودة مثل Strict-Transport-Security, X-Content-Type-Options، و Content-Security-Policy اترك تطبيقك مفتوحًا لهجمات الرجوع إلى إصدار سابق، ورصد MIME، وXSS.

curl -s -X POST https://api.botoi.com/v1/headers \\
  -H "Content-Type: application/json" \\
  -d '{"url": "https://your-app.com"}'

يتضمن الرد أ security_headers كائن يوضح الرؤوس الموجودة والمفقودة، وما هي القيم التي تحتويها. أضف هذا الفحص إلى مسار النشر الخاص بك لرصد الانحدارات.

الفحص رقم 6: وقت التشغيل ووقت الاستجابة

إذا كان موقعك معطلاً، فلا شيء آخر يهم. يؤكد الفحص السريع لوقت التشغيل على استجابة تطبيقك، ويقيس زمن الاستجابة، ويلتقط حلقات إعادة التوجيه أو رموز الحالة غير المتوقعة.

curl -s -X POST https://api.botoi.com/v1/uptime/check \\
  -H "Content-Type: application/json" \\
  -d '{"url": "https://your-app.com"}'

قم بدمج الستة في برنامج نصي واحد للتدقيق

قم بإجراء جميع عمليات التحقق الستة على أي مجال باستخدام برنامج نصي bash واحد. احفظه باسم audit.shافعلها قابل للتنفيذ، وتمرير المجال الخاص بك كوسيطة.

#!/bin/bash
# Domain security audit using Botoi API
DOMAIN=\${1:-"your-app.com"}
API="https://api.botoi.com/v1"

echo "Security audit for \$DOMAIN"
echo "=========================="

# 1. SSL certificate
echo "\\n[SSL Certificate]"
SSL=\$(curl -s -X POST \$API/ssl-cert/expiry \\
  -H "Content-Type: application/json" \\
  -d "{\\"domain\\": \\"\$DOMAIN\\"}")
echo \$SSL | jq '.data | {issuer, days_remaining, expired, expiring_soon}'

# 2. SPF record
echo "\\n[SPF Check]"
SPF=\$(curl -s -X POST \$API/dns-security/spf-check \\
  -H "Content-Type: application/json" \\
  -d "{\\"domain\\": \\"\$DOMAIN\\"}")
echo \$SPF | jq '.data | {has_spf, score, issues}'

# 3. DMARC record
echo "\\n[DMARC Check]"
DMARC=\$(curl -s -X POST \$API/dns-security/dmarc-check \\
  -H "Content-Type: application/json" \\
  -d "{\\"domain\\": \\"\$DOMAIN\\"}")
echo \$DMARC | jq '.data | {has_dmarc, policy, score}'

# 4. HTTP security headers
echo "\\n[Security Headers]"
HEADERS=\$(curl -s -X POST \$API/headers \\
  -H "Content-Type: application/json" \\
  -d "{\\"url\\": \\"https://\$DOMAIN\\"}")
echo \$HEADERS | jq '.data.security_headers'

# 5. Uptime and response time
echo "\\n[Uptime Check]"
UPTIME=\$(curl -s -X POST \$API/uptime/check \\
  -H "Content-Type: application/json" \\
  -d "{\\"url\\": \\"https://\$DOMAIN\\"}")
echo \$UPTIME | jq '.data | {status_code, response_time_ms, is_up}'

echo "\\nAudit complete."

Node.js مع Botoi SDK

إذا كنت تفضل TypeScript، فإن @botoi/sdk تقوم الحزمة بتشغيل جميع عمليات الفحص بالتوازي مع السلامة الكاملة للنوع.

import Botoi from "@botoi/sdk";

const botoi = new Botoi(); // no key needed for free tier

async function auditDomain(domain: string) {
  const [ssl, spf, dmarc, headers] = await Promise.all([
    botoi.sslCert.expiry({ domain }),
    botoi.dnsSecurity.spfCheck({ domain }),
    botoi.dnsSecurity.dmarcCheck({ domain }),
    botoi.headers.check({ url: \`https://\${domain}\` }),
  ]);

  const issues: string[] = [];

  if (ssl.data.days_remaining < 30) {
    issues.push(\`SSL expires in \${ssl.data.days_remaining} days\`);
  }
  if (!spf.data.has_spf) {
    issues.push("Missing SPF record");
  }
  if (!dmarc.data.has_dmarc) {
    issues.push("Missing DMARC record");
  }
  if (spf.data.score !== "A") {
    issues.push(\`SPF score: \${spf.data.score} (issues: \${spf.data.issues.join(", ")})\`);
  }

  return { domain, issues, passed: issues.length === 0 };
}

const result = await auditDomain("your-app.com");
console.log(result);

الأتمتة باستخدام إجراءات GitHub

قم بإجراء عمليات التحقق هذه في كل مرة تقوم فيها بالدفع إلى main وعلى جدول أسبوعي. فشل الإجراء في الإنشاء عندما شهادة SSL في غضون 14 يومًا من انتهاء الصلاحية أو تنخفض درجة نظام التعرف على هوية المرسل (SPF) إلى أقل من A.

name: Security Audit
on:
  schedule:
    - cron: '0 9 * * 1' # Every Monday at 9 AM
  push:
    branches: [main]

jobs:
  audit:
    runs-on: ubuntu-latest
    steps:
      - name: Check SSL expiry
        run: |
          RESULT=\$(curl -s -X POST https://api.botoi.com/v1/ssl-cert/expiry \\
            -H "Content-Type: application/json" \\
            -d '{"domain": "your-app.com"}')
          DAYS=\$(echo \$RESULT | jq '.data.days_remaining')
          if [ "\$DAYS" -lt 14 ]; then
            echo "::warning::SSL certificate expires in \$DAYS days"
            exit 1
          fi

      - name: Check DNS security
        run: |
          SPF=\$(curl -s -X POST https://api.botoi.com/v1/dns-security/spf-check \\
            -H "Content-Type: application/json" \\
            -d '{"domain": "your-app.com"}')
          SCORE=\$(echo \$SPF | jq -r '.data.score')
          if [ "\$SCORE" != "A" ]; then
            echo "::warning::SPF score is \$SCORE, not A"
          fi

ما الذي تغيره الأساطير بالنسبة لفرق الأمن؟

عثرت Mythos على 595 مُدخلًا مسببًا للتعطل عبر مجموعة OSS-Fuzz، مقارنة بحوالي 150 من Opus 4.6. لقد طورت 181 برنامج استغلال لمتصفح Firefox حيث تمكن Opus 4.6 من إدارة 2. تعهدت Anthropic بمبلغ 100 مليون دولار في واجهة برمجة التطبيقات (API) اعتمادات و4 ملايين دولار لمؤسسات أمنية مفتوحة المصدر من خلال مشروع Glasswing.

الوجبات الجاهزة: اكتشاف الثغرات الأمنية المستندة إلى الذكاء الاصطناعي يعمل. الحجم والسرعة سوف يزيدان فقط. سوف المهاجمين الوصول إلى قدرات مماثلة. لا يمكن أن يعتمد دفاعك على عمليات التدقيق اليدوية وحدها.

لن تعثر عمليات التحقق الستة في هذا المنشور على تجاوز سعة المخزن المؤقت لمدة 16 عامًا في تبعياتك. لكنهم قبضوا على حالات الفشل البسيطة التي تسبب حوادث حقيقية: الشهادات منتهية الصلاحية، ونطاقات البريد الإلكتروني المخادعة، والأمان المفقود العناوين والتوقف الصامت. أتمتة لهم اليوم. أصلح ما يعود. ثم تقلق بشأن الأشياء الأعمق.