Apakah laporan Phylex Scan setara pentest?

Tidak. Phylex Scan adalah pemindaian otomatis yang menemukan celah umum dan salah konfigurasi. Untuk kebutuhan audit yang mensyaratkan pengujian manual, gunakan layanan Phylex Pentest.

Kenapa temuan yang sudah saya perbaiki masih terbuka?

Temuan baru ditutup setelah scan berikutnya dengan profil yang sama (atau lebih luas) tidak menemukannya lagi. Jalankan retest setelah perbaikan dideploy.

Profil scan, temuan, triase, dan laporan Phylex Scan

Kapan memakai Baseline, Standar, atau Ancaman; cara membaca tingkat temuan, menandai false positive, retest, dan memilih format laporan.

Memilih profil scan

Baseline (semua paket, ±45 menit): ZAP menjelajah situs dan menganalisis secara pasif, ditambah template Nuclei yang aman. Cocok untuk produksi.
Standar (mulai Pro, ±1–2 jam): Baseline ditambah ZAP active scan yang mengirim data uji (XSS, SQL injection, dan sebagainya). Bisa membuat data sampah di formulir, jadi arahkan ke staging.
Ancaman (mulai Pro, ±20 menit): hanya menguji CVE tertentu dari tab Intel. Tidak memotong kuota scan manual; maksimal 4 kali per aset per bulan.

Pemeriksaan tambahan sesuai paket: TLS & sertifikat dan keamanan email (SPF, DKIM, DMARC, CAA) di semua paket; saran subdomain mulai Starter; port & layanan terbuka (100 port TCP umum) mulai Pro. Pemeriksaan port otomatis dilewati untuk IP CDN atau cloud bersama, dan butuh persetujuan karena IP server bisa milik penyedia hosting.

Membaca tingkat temuan

Critical / High: perbaiki segera. Email hasil scan diberi tanda PENTING bila ada temuan Critical/High yang baru atau muncul lagi.
Medium: rencanakan perbaikan dalam sprint berikutnya.
Low / Info: penguatan (hardening) atau informasi inventaris, misalnya teknologi yang terdeteksi.

Setiap temuan punya nomor tetap per organisasi (F-001, dan seterusnya) yang sama di console, laporan, dan pencarian. Klik temuan untuk melihat URL, parameter, bukti, CWE/OWASP, cara perbaikan, dan panel Asisten Phylex (penjelasan sederhana yang sudah ditinjau tim keamanan Phylex, termasuk langkah untuk teknologi yang terdeteksi di aset Anda, misalnya nginx, Apache, Cloudflare, atau WordPress).

Triase: false positive dan terima risiko

Tandai false positive bila temuan tidak benar untuk aplikasi Anda.
Terima risiko bila temuan benar tetapi sengaja tidak diperbaiki.
Buka kembali untuk membatalkan.

Keduanya wajib catatan untuk jejak audit. Contoh catatan yang baik: "Konstanta hash (0x67452301) di pustaka Firebase, bukan timestamp server." Temuan yang ditriase tetap tercatat dan diberi label di laporan.

Retest: memastikan perbaikan

Setelah memperbaiki, jalankan scan lagi dengan profil yang sama. Temuan yang tidak muncul lagi otomatis berstatus Diperbaiki. Scan Baseline tidak menutup temuan dari scan Standar, dan scan tanpa login tidak menutup temuan yang hanya terlihat saat login, sehingga status "Diperbaiki" tidak palsu.

Memilih format laporan

PDF: laporan resmi untuk manajemen & auditor (ringkasan eksekutif, rincian, metodologi, batasan; bertanda RAHASIA).
CSV: daftar temuan untuk Excel/Google Sheets atau impor ke Jira.
Markdown: catatan teknis untuk developer (tiket, issue GitHub, wiki).
JSON: data terstruktur untuk integrasi & CI.

Paket trial hanya mendapat PDF bertanda air dengan rincian lengkap untuk Critical/High. Status triase dihitung saat laporan diunduh, dan setiap unduhan tercatat.