Bắt đầu từ các hành trình quan trọng, đừng quét lớn vô hướng
Chọn năm đến mười URL và xác định kết quả mong đợi cho từng URL: trang xác nhận, hóa đơn, bản ghi CRM, hoặc chuyển giao tới nhà cung cấp. Bao gồm các trang công khai và hành động tạo doanh thu, xây dựng niềm tin, tạo nhu cầu hỗ trợ, hoặc phát sinh nghĩa vụ pháp lý. Thử như một khách truy cập trong cửa sổ trình duyệt chưa đăng nhập và trên điện thoại.
Nếu bên thứ ba sở hữu một bước quan trọng, vẽ sơ đồ chuyển giao và thông tin liên hệ hỗ trợ. Bạn có thể kiểm tra giao tiếp chuyển tiếp, nhưng không thể chứng nhận nhà cung cấp đó. Phân loại các phát hiện thành chặn (blocker), suy giảm đáng kể (material degradation), hoặc cải tiến để công việc thẩm mỹ không che lấp hành trình bị hỏng.
Bao phủ các tuyến dẫn đến việc tạo doanh thu, niềm tin, nhu cầu hỗ trợ hoặc nghĩa vụ pháp lý.
Mỗi phát hiện có tính chất quan trọng đều cần một người chịu trách nhiệm được đặt tên và một ngày mục tiêu.
Kiểm tra khả năng tiếp cận chứ không chỉ hình thức
Truy cập (accessibility) nghĩa là mọi người có thể cảm nhận và thao tác trang với các phương thức nhập khác nhau và công nghệ hỗ trợ. Trên các trang được chọn, sử dụng phím Tab để duyệt điều hướng, menu, điều khiển và biểu mẫu. Kiểm tra tiêu điểm (keyboard focus) hiển thị, hoạt động không cần chuột của các điều khiển thiết yếu, và một lối tới nội dung chính. W3C’s Easy Checks xác định tiêu điểm bàn phím và liên kết bỏ qua (skip link) là các mục hữu ích cho đánh giá ban đầu.
Kiểm tra văn bản thay thế (alt) có ý nghĩa, tiêu đề trang, các thẻ heading, độ tương phản, hành vi phóng to (zoom), phương án thay thế cho media khi cần, nhãn biểu mẫu, trường bắt buộc và lỗi dễ hiểu. Gửi một lần gửi thử không chứa dữ liệu nhạy cảm. Đây không phải là kiểm toán tuân thủ: W3C cảnh báo rằng trang có thể vượt qua các kiểm tra nhanh trong khi vẫn còn rào cản đáng kể. Sử dụng đánh giá có chuyên môn cho công việc rủi ro cao, thiết kế lại, hoặc các vấn đề đã biết.
Thử nhãn, hướng dẫn, thông báo lỗi, và đường đi thực tế tới trang xác nhận.
Văn bản thay thế nên truyền đạt mục đích hình ảnh; các thẻ heading nên tổ chức nội dung trang.
Xem xét khả năng tìm thấy mà không hứa hẹn thứ hạng
SEO giúp công cụ tìm kiếm hiểu nội dung và giúp người dùng quyết định có nên truy cập từ kết quả tìm kiếm hay không. Với mỗi trang ưu tiên, đọc tiêu đề (title), tiêu đề chính (main heading), đoạn mở đầu, URL và các liên kết nội bộ với tư cách người mới đến. Chúng nên nêu rõ mục đích và dẫn đến các bước tiếp theo hữu ích. Google khuyến nghị URL mô tả, nội dung hữu ích và văn bản liên kết mô tả.
Nếu bạn sử dụng Google Search Console, kiểm tra (inspect) các URL chính sau khi phát hành có thay đổi lớn. Google nói URL Inspection có thể giúp kiểm tra cách bộ thu thập của họ thấy một trang và liệu nó có truy cập được các tài nguyên quan trọng hay không. Sửa các chặn vô tình, liên kết nội bộ bị hỏng, hoặc đường đi mơ hồ, sau đó cho phép thời gian để thu thập lại. Google không bảo đảm lập chỉ mục hay thứ hạng.
Mở các liên kết nội bộ khi chưa đăng nhập và ghi lại trang 404, vòng lặp và đích không liên quan.
Quan sát phân phối ở nơi khách truy cập cảm nhận
Phân phối bao gồm phản hồi máy chủ, hình ảnh, font, script, bộ nhớ đệm và bên thứ ba. Chạy kiểm tra hiệu năng trên trình duyệt cho các trang ưu tiên, rồi lặp lại nhiệm vụ chính trên điện thoại thực tế. Ghi chú nội dung chính xuất hiện muộn, điều khiển chậm, nhảy bố cục (layout shifts), tài nguyên tải thất bại, hoặc banner che chắn tác vụ. Core Web Vitals là khung trải nghiệm người dùng do web.dev cung cấp; dùng các phép đo để tập trung điều tra, không thay thế kiểm tra hành trình.
Xem xét các tag, widget, embed, font và thay đổi hình ảnh mới cùng người triển khai. Cache HTTP tái sử dụng phản hồi trước đó. MDN giải thích rằng Cache-Control truyền đạt hướng dẫn cache và phản hồi lưu trong cache có thể là mới (fresh) hoặc cũ (stale). Sau phát hành, so sánh phiên trình duyệt thông thường và phiên mới hoàn toàn, rồi yêu cầu người chịu trách nhiệm kỹ thuật kiểm tra header và quy tắc CDN. Tránh thay đổi cache toàn diện mà không hiểu tác động về quyền riêng tư và phát hành.
Ghi lại liệu nội dung chính xuất hiện, trang có giữ ổn định hay không, và các điều khiển thiết yếu phản hồi.
MDN lưu ý rằng cookie riêng lẻ không làm cho một phản hồi trở nên riêng tư; yêu cầu người phụ trách kỹ thuật xem xét caching cá nhân hóa.
Xác nhận nền tảng bảo mật cơ bản và bảo vệ thay đổi thanh toán
Một kiểm tra của chủ sở hữu có thể phát hiện các khoảng trống thấy được; nó không phải là kiểm thử xâm nhập. Mở trang công khai qua HTTPS và thử HTTP. OWASP khuyến nghị TLS cho tất cả các trang và mô tả việc chuyển hướng lưu lượng HTTP công khai sang HTTPS là cách tiếp cận phổ biến. Nâng cấp các cảnh báo chứng chỉ hoặc nội dung hỗn hợp (mixed-content), tên miền bất ngờ, và trang HTTP phục vụ nội dung thay vì chuyển hướng an toàn.
Xác nhận quyền sở hữu hiện tại của việc xuất bản, tên miền, DNS, thanh toán, plugin và truy cập sao lưu. Một chuyên gia bảo mật có trình độ hoặc nhà cung cấp nên xem xét cấu hình TLS, vá lỗi, xác thực, cấu hình máy chủ và log. Với thanh toán, chỉ dùng phương pháp kiểm thử được nhà cung cấp phê duyệt hoặc môi trường phi sản xuất an toàn. Không bao giờ đưa dữ liệu thẻ thực hoặc thông tin đăng nhập vào thử nghiệm không chính thức hoặc cho rằng kiểm tra bằng mắt chứng minh tuân thủ PCI.
Xử lý cảnh báo chứng chỉ, cảnh báo nội dung không an toàn, hoặc chuyển hướng bất ngờ như vấn đề cần dừng phát hành cho tới khi điều tra.
Chuyển các nghi ngờ bị xâm phạm, yêu cầu bảo mật và câu hỏi tuân thủ thanh toán đến người đánh giá có chuyên môn.
Chứng minh khả năng phục hồi và đóng vòng theo dõi
Liệt kê những gì khôi phục được hành trình ưu tiên: phiên bản ứng dụng, cơ sở dữ liệu, media tải lên, vị trí cấu hình, truy cập DNS và tên miền, cài đặt tích hợp, và thông tin liên hệ nhà cung cấp. CISA khuyên xác định dữ liệu quan trọng, bảo vệ cơ sở dữ liệu website và vận hành, bảo vệ bản sao lưu và kiểm tra khôi phục. Hỏi lần cuối thử phục hồi được kiểm tra khi nào, cái gì được khôi phục, mất bao lâu, và ai có quyền phê duyệt. Tập dượt an toàn khi có thể.
Trước khi phát hành, xác định phiên bản trước đó, kích hoạt đảo ngược (reversal trigger), người phê duyệt, và cách xử lý cho DNS, cache, lược đồ cơ sở dữ liệu và thay đổi bên thứ ba. Một bản sao lưu không phải là sửa chữa tức thời, và rollback có thể không đảo ngược dữ liệu bên ngoài hoặc sự kiện thanh toán. Giữ sổ đăng ký các phát hiện, bằng chứng, người chịu trách nhiệm, ngày và kết quả thử lại.
Một ghi chép về phạm vi, ngày, kết quả và khoảng trống mạnh hơn là “có chạy sao lưu.”
Xác minh lại đường dẫn ban đầu sau khi sửa trong môi trường liên quan.