Phương pháp và nguồn

Trang này nói rõ blog viết từ đâu và công cụ hoạt động thế nào để bạn kiểm chứng được.

1. Cách mình viết bài

• Bài viết được biên soạn với sự hỗ trợ của công cụ AI, được đối chiếu với RFC và tài liệu chính thức; mình chưa thử trên mọi hệ thống — hãy sao lưu và thử trước khi áp dụng. Bài dựa trên tài liệu chuẩn (RFC) và tài liệu của nhà cung cấp; ví dụ dùng tên miền giả example.vn.
• Mỗi bài có ngày đăng và ngày cập nhật. Khi nhà cung cấp đổi giao diện hay cú pháp, mình sửa lại bài và ghi ngày cập nhật.
• Nguồn tham khảo được ghi ở cuối bài khi có. Mình không sao chép nguyên văn tài liệu của người khác.
• Không đăng mã khai thác (PoC) hay hướng dẫn tấn công hệ thống của người khác.
• Hướng dẫn chỉ mang tính tham khảo chung. Hãy sao lưu và thử trước khi áp dụng cho hệ thống của bạn.

2. Cách các công cụ hoạt động

• Mỗi công cụ là một tệp JavaScript tĩnh tại /static/tools/, chạy trên máy bạn. Trang không có form gửi dữ liệu.
• Công cụ không gọi mạng: không truy cập tên miền bạn đang kiểm tra, không tra DNS, không gửi nội dung bạn dán lên máy chủ. Chính sách bảo mật nội dung (CSP) của trang cũng cấm mọi kết nối ngoài (connect-src 'none'), nên trình duyệt sẽ chặn nếu có mã nào cố làm vậy.
• Công cụ không lưu gì: không cookie, không localStorage (công cụ không đặt cookie hay lưu dữ liệu trên máy bạn). Đóng tab là mất kết quả.
• Vì không tra DNS, công cụ chỉ đọc đúng văn bản bạn dán. Bạn tự lấy bản ghi bằng dig TXT example.vn +short hay header bằng curl -sI https://example.vn.
• Kết quả là gợi ý đọc hiểu, không phải kiểm toán hay chứng nhận an ninh. Con số "số lần tra cứu DNS" của SPF chỉ là ước tính vì không thể mở các include lồng nhau.

3. Tài liệu tham khảo chính

• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 7489 (DMARC), RFC 8461 (MTA-STS), RFC 8460 (TLS-RPT), RFC 6797 (HSTS), RFC 9116 (security.txt).
• Tài liệu của MDN Web Docs về Content-Security-Policy và các security header; hướng dẫn của OWASP về HTTP Headers.
• Tài liệu quản trị của từng nền tảng được nhắc trong bài (Cloudflare, Google Workspace, Microsoft 365, Zoho Mail, cPanel, DirectAdmin, Nginx, Apache). Giao diện thay đổi thường xuyên nên mình chỉ mô tả đường đi chung.

4. Giới hạn

• Blog và công cụ có thể có sai sót hoặc lạc hậu so với thay đổi mới nhất của nhà cung cấp.
• Nội dung không thay thế việc rà soát của chuyên gia có thẩm quyền khi hệ thống của bạn quan trọng.

Nếu thấy sai, gửi tới lienhe@anninh.io.vn để mình sửa.