外部攻擊面監控

主機健檢回答「我的系統裡面有沒有問題」；本服務回答另一個問題：從網際網路上看，我對外露出了什麼。每日檢視一次您的網域，並在暴露面發生變化時通知您。不需在您的主機上安裝或執行任何程式。

01與主機健檢的分工

兩者互補而非替代。對外暴露面乾淨，不代表主機沒有被入侵；主機健檢乾淨，也不代表沒有不該開的埠對著全世界。需要涵蓋內部狀態請見主機健檢與持續監控訂閱。

02我們實際檢視什麼

• DNS 記錄：A、AAAA、NS、MX、TXT、CAA。
• 通訊埠：41 個常被錯誤暴露的埠（資料庫、快取、管理介面、遠端桌面、容器 API 等），只做 TCP 連線測試。
• TLS 憑證：剩餘天數、簽發機構、涵蓋的網域清單、憑證鏈是否可驗證、協商到的 TLS 版本。
• HTTP 安全標頭：HSTS、CSP、X-Content-Type-Options、X-Frame-Options、Referrer-Policy。
• 對外可辨識的軟體版本：伺服器主動送出的協定橫幅與回應標頭。版本線若已停止維護會標示，但由發行版套件庫提供的軟體通常另有延伸支援，報告會一併載明此但書——不會拿版本號直接嚇人。
• 子網域：來自公開的憑證透明度日誌。您不必逐一列出，簽過憑證的名稱會自己浮現——包含那些您可能已經忘記的測試站。

03會通知您的變化長什麼樣

以下都是引擎實際會回報的項目，不是示意：

• 新增對外開放的埠——上次掃描時這個埠是關閉的。
• A 記錄指向的伺服器換了——若非預期，代表流量已被導到別處。
• NS 記錄變更——決定整個網域由誰解析，非預期的變更是網域被接管的典型訊號。
• CAA 被放寬或移除——等於讓其他機構也能為您的網域簽發憑證。
• TLS 憑證的簽發機構變更，或涵蓋的網域清單變更。
• 憑證即將到期——到期造成的中斷是最典型的「本來完全可以避免」的故障，而且通常發生在自動續期早已失效而無人察覺的情況下。
• 安全標頭消失——最常見的原因是新增了某個設定區塊，而標頭並不會被繼承進去。
• 對外新出現的技術，或版本線退回舊版——後者通常是回滾，或流量被換到另一台較舊的機器。
• HTTPS 服務消失。

噪音控制與偵測能力同等重要：時間戳、憑證天數自然遞減、記錄順序不同、修補版號後綴變動都不算變化。

04未經驗證，我們不掃描

開通時您需要在 DNS 新增一筆 _odysec-verify TXT 記錄。在它生效之前，我們不會對您的網域發出任何一次連線。

這不是流程上的形式。對他人的網域主動發出連線探測，在《刑法》第 358 條下可能構成無故入侵電腦系統；DNS TXT 記錄是最實際的授權證明——只有能修改該網域 DNS 的人放得進去。

05我們不做的事

• 不送任何攻擊酬載、不嘗試登入、不做弱點利用。只建立 TCP 連線並讀取公開回應。
• CDN 後方的網域不掃埠——解析出來的位址是 CDN 廠商的資產，不是您的，掃它既無意義也不該做。報告會標明已略過。
• 不是即時防護。本服務為定期評估，不具備阻擋、隔離或自動反應的能力。
• 不宣稱能找出所有對外風險。

06通知原則

沒有變化就不通知。每天一則「一切正常」會訓練出略過的習慣，真正該看的那一則會一併被忽略。但這帶來一個必須處理的後果：既然沒有消息即代表正常，那麼「監控壞掉」與「一切正常」在您眼中就完全相同——所以掃描失敗一定通知，通知管道推送失敗也會標示在您的狀態頁上。

07服務內容與開通方式

• 一個專屬的狀態頁網址（不需登入、網址不可猜測），隨時查看目前的對外暴露面與歷次變化紀錄。
• 可選的 webhook 通知：任何能接收 HTTP POST 的 https 網址（ntfy、Slack、Discord 皆可）。設定後我們會立刻送出一則測試通知並告訴您成功與否——設定後未經測試，等於把「通知送不到」留到真正需要它的那一刻才發現。
• 訂閱期間不限掃描次數，一個網域（含其子網域）。