Kebijakan pemantauan

Halaman ini menjelaskan apa yang dilakukan Pagar Goid terhadap situs yang dipantau. Jika Anda menemukan PagarGoID-Monitor di log server Anda, di sinilah penjelasannya.

Apa yang diperiksa

Sertifikat SSL/TLS: masa berlaku, rantai sertifikat, kecocokan nama domain, versi protokol, dan pengalihan dari HTTP ke HTTPS.
Header keamanan: header yang dikirim halaman utama, seperti HSTS dan Content-Security-Policy.
DNS dan email: record SPF, DMARC, DKIM, MX, dan status DNSSEC.
Domain mirip (typosquat): variasi nama domain (salah ketik, huruf mirip, ekstensi lain, tambahan seperti -login) yang sudah aktif di DNS. Domain mirip hanya dicek melalui DNS dan tidak pernah dikunjungi.
Perubahan tampilan (deface): tangkapan layar dan teks halaman utama dibandingkan dengan tangkapan sebelumnya untuk mendeteksi perubahan besar atau kata kunci khas deface.

Bagaimana cara memeriksanya

Semua pemeriksaan bersifat pasif dan setara dengan pengunjung biasa:

Permintaan GET ke halaman utama (dan mengikuti pengalihannya), serta koneksi TLS untuk membaca sertifikat.
Pencarian data DNS publik melalui resolver DNS-over-HTTPS.
Untuk tangkapan layar, browser tanpa tampilan (headless Chromium) membuka halaman utama sekali, termasuk gambar, CSS, dan skrip yang dimuat halaman itu, sama seperti pengunjung biasa.
Paling banyak satu permintaan halaman per detik ke setiap host, dengan batas waktu 15 detik (30 detik untuk tangkapan layar).
Jadwal: sertifikat, header, dan DNS satu kali per hari; tangkapan layar setiap 6 jam; domain mirip satu kali per minggu.

Kami tidak melakukan pemindaian port, uji celah keamanan, fuzzing, percobaan login, atau pengiriman formulir.

Identitas permintaan

Setiap permintaan HTTP, termasuk dari browser tangkapan layar, memakai user-agent berikut:

PagarGoID-Monitor/1.0 (+https://pagar-goid.web.id/kebijakan)

Siapa yang dipantau

Domain hanya dipantau penuh setelah pemiliknya membuktikan kepemilikan melalui record DNS TXT atau file verifikasi. Untuk keperluan demonstrasi, sejumlah kecil situs publik instansi dipantau tanpa verifikasi kepemilikan, terbatas pada pemeriksaan pasif di atas. Skor domain demo tidak dipublikasikan dan tidak dapat ditampilkan sebagai lencana.

Data yang disimpan

Kami hanya menyimpan informasi yang dapat dilihat siapa pun dari luar: hasil pemeriksaan, header, data DNS publik, informasi sertifikat, serta HTML, teks, dan tangkapan layar halaman utama (paling banyak 20 tangkapan terakhir per domain). Skor dan temuan hanya dapat dilihat oleh anggota organisasi pemilik domain, kecuali pemilik sendiri memasang lencana skor di situsnya.

Berhenti dipantau

Pengelola situs dapat meminta domainnya dikeluarkan dari pemantauan kapan saja dengan mengirim email ke halo@pagar-goid.web.id dengan menyebutkan nama domainnya. Permintaan diproses paling lambat dua hari kerja.