enigma/zero
сканер онлайн
// сканер

EnigmaZeroScanner

Вы видите в журналах сервера запросы от EnigmaZeroScanner? Это бесплатная проверка безопасности Enigma Zero, которую запустил кто-то, кто подтвердил контроль над вашим сайтом. Ниже — как её узнать, что она делает и как её остановить.

01 Как узнать сканер

Все запросы проверки приходят с одного адреса и с одним User-Agent:

IP-адрес
51.195.37.32
обратный DNS
scanner.enigmazero.dev
User-Agent
EnigmaZeroScanner/0.1 (+https://enigmazero.dev/scanner)

Если User-Agent такой, а адрес другой — это не мы: кто-то подделал заголовок.

02 Почему он пришёл на ваш сайт

Enigma Zero проверяет сайт только после того, как пользователь подтвердил контроль над ним: разместил на главной странице meta-тег enigma-zero-verify, выложил файл /.well-known/enigma-zero.txt или добавил TXT-запись _enigma-zero.<домен> в DNS. Подтверждение перепроверяется перед каждым сканом.

Значит, кто-то с доступом к вашему сайту или DNS — разработчик, подрядчик, коллега — запустил проверку. Если это не вы и вы не знаете, кто это, проверьте, есть ли на сайте такой тег, файл или запись.

Единственный запрос без подтверждения — сама проверка подтверждения: до нескольких GET- запросов к главной странице или к файлу /.well-known/enigma-zero.txt.

03 Что он делает

Сканер ведёт себя как аккуратный посетитель и только читает:

  • не больше 3 запросов в секунду к одному хосту и не больше 400 за проверку; проверка обычно занимает несколько минут;
  • открывает главную и до нескольких десятков публичных страниц, скрипты и стили; ссылки, похожие на действия (выход, удаление, голосование), не открывает;
  • запрашивает известные служебные пути, которые часто оказываются открытыми по ошибке: /.env, /.git/HEAD, резервные копии, /swagger.json, страницы отладки — поэтому в журнале будут ответы 404;
  • отправляет OPTIONS и запрос с чужим Origin, чтобы проверить CORS, и один фиксированный POST с интроспекцией GraphQL, если на сайте есть GraphQL;
  • смотрит TLS-сертификат и публичные DNS-записи домена.

Сканер не отправляет формы, не подбирает пароли, не эксплуатирует уязвимости, не использует найденные ключи и не сканирует порты. Подробнее — в условиях сервиса.

04 Как остановить проверки

  • уберите meta-тег, файл или TXT-запись — подтверждение проверяется перед каждым сканом, и следующая проверка не начнётся;
  • или заблокируйте адрес 51.195.37.32 на сервере или в WAF;
  • или напишите на [email protected] — укажите домен и, если есть, время запросов. Мы отзовём подтверждение и разберёмся, кто запускал проверку.

Если сканер создал проблему или вы видите запросы, не похожие на описанные здесь, тоже напишите — мы ответим.