Métodos, confiabilidade e limites

Três caminhos de verificação, uma avaliação

Todos os caminhos usam as mesmas regras de avaliação fixas. Nenhuma IA generativa é utilizada. O que muda é a origem da informação:

• Verificar site: o indício de versão vem de um cabeçalho de resposta HTTP. Ele é considerado um indício de versão não verificado.
• Arquivo de verificação: um pequeno arquivo PHP assinado no seu espaço web informa a versão que o seu site realmente executa. Trata-se de uma informação confirmada.
• Avaliar versão: a informação vem de você. Ela é considerada uma informação manual e não é verificada pelo serviço.

Como funciona a verificação externa

1. O endereço é verificado no nosso servidor: somente http:// ou https://, portas padrão, sem dados de acesso, sem parâmetros, sem endereços IP. Sem protocolo, https:// é adicionado; nomes de domínio internacionais são convertidos para a forma ASCII.
2. O nome de domínio é resolvido via DNS. Se um único endereço apontar para uma rede interna, reservada ou bloqueada, o acesso não é feito.
3. A conexão é vinculada de forma fixa ao endereço IP verificado. Certificado e nome do servidor são verificados normalmente.
4. Em seguida é feita uma requisição HEAD. Somente se o servidor não suportar HEAD (HTTP 405 ou 501) é feito um GET, cujo corpo de resposta é interrompido imediatamente.
5. São seguidos no máximo três redirecionamentos, e cada destino é verificado novamente. Não há rebaixamento de HTTPS para HTTP.
6. Apenas a resposta final é avaliada. São analisados os cabeçalhos X-Powered-By e Server, e apenas informações identificadas explicitamente como PHP (por exemplo, PHP/8.3.36).

Todo o processo é limitado a 20 segundos. Cookies, dados de acesso ou cabeçalhos do seu navegador não são repassados ao site de destino. O site de destino vê o endereço IP do nosso servidor (195.90.214.181) e o identificador PHP-Checker/1.0 (+https://php-checker.de/pruefumfang).

Resultados e seu significado

Indício de versão abaixo da versão corrigida

A versão informada está, no mesmo ramo, abaixo da primeira versão corrigida. Verifique se o seu provedor fez backport de uma correção e providencie a atualização.

Indício de versão corresponde à versão corrigida

A versão informada atinge a versão corrigida. O indício não é verificado e não vale automaticamente para todos os processos PHP.

Verificação do fornecedor necessária

Um pacote do fornecedor com versão-base mais antiga. Um backport só é comprovado com uma evidência do fornecedor para exatamente esse pacote e os dois CVEs.

Versão de pré-lançamento – verificação separada necessária

Versões alfa, beta, RC ou de desenvolvimento não recebem liberação para produção.

Ramo sem versão corrigida oficial

Para ramos antigos (por exemplo, 8.1 e anteriores), o projeto PHP não indica correção. Eles não são considerados corrigidos por causa do número de versão.

Ramo não incluído nos dados de verificação

Ramos novos ou desconhecidos só são avaliados após a inclusão de fontes confiáveis.

Status de patches não determinável externamente

Nenhum indício de PHP utilizável, inequívoco ou sem contradições. Isso não é um veredito de segurança – nem positivo nem negativo.

Verificação não concluída

Erro, tempo esgotado, bloqueio ou interrupção. Uma verificação não concluída não significa que está tudo bem.

Limites da conclusão

• Um indício de versão não é prova de patch. Os cabeçalhos podem vir de um cache, proxy, sistema de proteção, página de erro ou outra aplicação.
• Uma versão adequada não confirma o pacote instalado nem todos os processos PHP em execução. O PHP-FPM não está excluído de forma geral das falhas.
• A explorabilidade real não é verificada.
• Infecção: não verificada. Uma atualização não exclui uma infecção anterior.

O que o PHP Checker não oferece

Detecção de malware, varredura de portas, verificações completas de WordPress ou de CMS, verificação de outros softwares e reparos automáticos de servidor não fazem parte das funcionalidades. Cada uma dessas tarefas exigiria um escopo de verificação próprio e definido.

Proteção contra abuso

Para que o serviço não seja usado indevidamente como proxy aberto ou contra servidores de terceiros, há limites fixos por solicitante, por site de destino e para o serviço como um todo, além de um número limitado de verificações simultâneas. Se um limite for atingido, você recebe um aviso para aguardar. Se a limitação falhar, nenhum acesso é iniciado.