Secure Site Pro SSL, Secure Site Pro EV SSL e Secure Site EV vêm com acesso a um serviço de avaliação de vulnerabilidade. Este serviço de avaliação de vulnerabilidade permite que você identifique e atue contra os pontos fracos mais exploráveis em seu site. Para saber mais sobre o que está incluído em cada certificado Secure Site Pro e Secure Site EV, consulte Certificados Pro TLS/SSL e Certificados Secure Site.
A avaliação de vulnerabilidade é um serviço em nuvem, portanto, não há nada para instalar. Depois de emitirmos seu certificado Secure Site Pro ou Secure Site EV, e você habilitar a avaliação de vulnerabilidade para o pedido, você pode começar a usar o serviço imediatamente para escanear os domínios no pedido de certificado.
A avaliação de vulnerabilidade ajuda você a:
Mantenha seu site fora da lista de bloqueio que o Google, Yahoo, Bing e outros mecanismos de pesquisa criam para sites encontrados com malware.
Reduza o risco de agentes mal-intencionados encontrarem e atacarem seu site.
Identifique os pontos fracos do seu site que provavelmente serão usados para ataques maliciosos.
Corrija rapidamente essas vulnerabilidades, tornando mais fácil proteger seu site.
A avaliação de vulnerabilidade inclui:
Uma verificação mensal automática em busca de vulnerabilidades em páginas da web voltadas para o público.
Um relatório acionável de fácil leitura que identifica vulnerabilidades críticas que devem ser investigadas imediatamente e itens informativos que apresentam um risco menor.
Uma opção de verificar novamente o seu site para ajudar a confirmar se as vulnerabilidades foram corrigidas.
When you enable DigiCert’s vulnerability assessment service, DigiCert scans the domains on the certificate and generates the vulnerability reports using these two ratings:
DDI rating is a Digital Defense curated CVE scoring.
Generally, it aligns with CVE, but in some cases, it displays higher or lower severity based on exposure, such as internal vs external.
PCI rating is the scoring.
It shows PCI pass/fail for vulnerabilities and if assets are compliant based on the vulnerability pass/fail scoring.
Importante
The vulnerability assessment does not replace PCI-compliant vulnerability scans. The service complements existing protection with an automatic weekly scan and a report of the most critical vulnerabilities.
Vulnerability report | Severity ratings |
|---|---|
DDI |
|
PCI |
|
The vulnerability assessment service pulls information about your domains into CertCentral, where you can view details about any discovered vulnerabilities to quickly identify exploitable weaknesses and take corrective action for your domains. You can also download reports, get notifications, and rescan your website to help confirm that vulnerabilities were fixed.
Por padrão, o serviço de avaliação verifica os domínios no pedido uma vez por mês, desde que as avaliações de vulnerabilidade estejam habilitadas. Você também pode enfileirar manualmente um domínio para ser verificado novamente a qualquer momento. Para evitar a verificação completamente, desative as avaliações de vulnerabilidade para o pedido de certificado.
O serviço de avaliação de vulnerabilidade verifica apenas os domínios de nível mais alto protegidos pelo certificado. Nas tabelas abaixo, mostramos alguns exemplos de quais domínios o serviço verifica ao proteger domínios em vários níveis: domínios de base, subdomínios de primeiro nível e subdomínios de segundo nível.
Domínios Certificado A protegidos:
| Quando um certificado protege domínios de base e subdomínios de primeiro nível, o serviço verifica apenas os domínios de base. Neste exemplo, o certificado protege dois domínios básicos e dois subdomínios de primeiro nível. Portanto, o serviço verifica apenas os domínios de base. |
Domínios Certificado B protegidos:
| Quando um certificado não protege um domínio base, o serviço verifica os subdomínios no próximo nível mais baixo. Neste exemplo, o certificado protege um subdomínio de primeiro nível e um subdomínio de segundo nível. Portanto, o serviço verifica apenas o subdomínio de primeiro nível. |
Domínios Certificado C protegidos:
| Quando um certificado protege vários subdomínios no mesmo nível, o serviço verifica todos os subdomínios. Neste exemplo, o certificado protege três subdomínios de primeiro nível e um subdomínio de segundo nível. Portanto, o serviço verifica todos os subdomínios de primeiro nível. |