TECHSCAN · Đánh giá rủi ro mã nguồn trong mạng khép kín

Trong mã nguồn của công ty mình,
quý vị có biết thực sự đang có những gì?

Xung đột giấy phép mã nguồn mở, mật khẩu bị viết cứng trong mã, lỗ hổng chưa được vá — phần lớn đều được phát hiện trong các đợt kiểm toán mã nguồn thực tế. Và phần lớn, người đứng đầu doanh nghiệp không hề hay biết.

Trong các đợt kiểm toán mã nguồn thực tế: xung đột giấy phép 94% · phát hiện lỗ hổng chưa vá 97% · dữ liệu kiểm toán của Black Duck

Bắt đầu đánh giá mã nguồn · từ 119 US$Xem báo cáo mẫu
  • 0 lần gửi mã nguồn ra ngoài
  • Phân tích trong mạng khép kín
  • Báo cáo trong 24 giờ
  • Xóa bản gốc sau phân tích

WHEN IT MATTERS

Đến những thời điểm này, mã nguồn rồi cũng sẽ bị mở ra

  • Chuẩn bị thẩm định đầu tưTrước khi đối tác mở ra xem
  • Nghiệm thu sản phẩm thuê ngoàiMã nhận được có thực sự đạt chuẩn
  • Kiểm tra trước khi ra mắt dịch vụTrước khi sự cố xảy ra
  • Thẩm định bán công ty · cung cấp cho tập đoàn lớnBiết trước lý do bị từ chối
  • Ngay sau sự cố bảo mậtLiệu còn điều tương tự không

— Nếu đến lúc đó mới mở ra lần đầu, thì đã muộn.

01 — SECURITY RISK

Mật khẩu trong mã nguồn, cửa hậu bị lãng quên

Đây là những hạng mục phát sinh tự nhiên trong quá trình phát triển và sẽ không bao giờ lộ diện nếu không chủ động tìm kiếm.

Thông tin xác thực còn sót trong mã

API key, mật khẩu DB được ghi thẳng trong mã nguồn. Dù tưởng đã xóa, chúng vẫn còn nguyên trong lịch sử git.

Bằng chứng · working tree + toàn bộ lịch sử git

Lỗ hổng đã được công bố

Kiểm tra xem quý vị có đang dùng phiên bản thư viện mà cách tấn công đã được công khai trên Internet hay không. Khi sự cố xảy ra, đó sẽ là điều “lẽ ra đã có thể biết”.

Bằng chứng · đối chiếu chéo 2 công cụ quét (Trivy·Grype)

Luồng mã nguy hiểm · cửa hậu

Tìm các đường truy cập vòng do nhân sự đã nghỉ việc để lại và những điểm xử lý dữ liệu đầu vào từ bên ngoài mà không kiểm tra.

Bằng chứng · vị trí theo tệp và dòng (semgrep)

02 — LICENSE RISK

Chỉ một thư viện mã nguồn mở có thể buộc toàn bộ mã nguồn công ty phải công khai

GPL·AGPL lẫn trong các mô-đun cốt lõi có thể dẫn đến nghĩa vụ công khai mã nguồn hoặc phải phát triển lại toàn bộ. Khi dịch vụ đang vận hành, đó là thông báo vi phạm giấy phép; khi thẩm định cung cấp cho tập đoàn lớn, đó là lý do bị từ chối; còn trong thẩm định đầu tư hay mua bán, đó là yếu tố phá vỡ thương vụ.

Không phải do ai làm sai — đây vốn là thứ không nhìn thấy được. Nó bắt đầu từ một dòng khai báo thư viện cần thiết, và sẽ không lộ ra nếu không chủ động tìm.

Pass · Giấy phép được chấp nhậnFail · Copyleft mạnhBằng chứng · thành phần / giấy phép / đường dẫn tệp

03 — AI CODING BLIND SPOT

Mã do AI viết ra có nguồn gốc từ đâu, không ai biết

Mã được sinh ra không kèm ghi chú giấy phép hay danh sách phụ thuộc. Vì vậy, các bước kiểm tra truyền thống chỉ xem danh sách gói đôi khi vẫn cho kết quả “sạch” mà không phát hiện vấn đề gì. Tốc độ phát triển càng nhanh, những điều cần kiểm tra càng nhiều.

16%Tỷ lệ thành phần mã nguồn mở được xác định trong các đợt kiểm toán thực tế đi vào qua những con đường không có trong danh sách gói (sao chép mã trực tiếp · Stack Overflow · đoạn mã do AI tạo) · dữ liệu kiểm toán của Black Duck

04 — WHAT YOU GET

Đây là tài liệu quý vị sẽ nhận được

Bản tóm tắt 1 trang dành cho người đứng đầu doanh nghiệp, và danh sách theo từng tệp, từng dòng để đội phát triển có thể sửa ngay. Cả hai ngôn ngữ ấy nằm trong cùng một tài liệu.

Trang bìa — xếp hạng rủi ro tổng hợp · ngày phát hành · phạm vi kiểm tra
Tóm tắt cho người đứng đầu — phân bố mức độ nghiêm trọng · độ bao phủ theo trục kiểm tra · Top 3 hành động ưu tiên
Chi tiết — kết luận theo hạng mục, bằng chứng theo tệp và dòng, hướng dẫn khắc phục

05 — HOW IT WORKS

Từ tải mã nguồn lên đến hướng dẫn khắc phục, chỉ ba bước

01khoảng 5 phút

Tải mã nguồn lên

Tải lên tệp ZIP hoặc đăng ký kho git·svn ở chế độ chỉ đọc.

02

Phân tích toàn diện trong mạng khép kín

Kiểm tra toàn bộ SBOM, giấy phép, thông tin xác thực, lỗ hổng và luồng mã mà không gửi bất cứ dữ liệu nào ra ngoài. (Không ai có thể xem mã nguồn. Nếu mã nguồn bị rò rỉ qua hệ thống này, chúng tôi bồi thường gấp 100 lần.)

03trong 24 giờ

Báo cáo kết luận

Bản tóm tắt 1 trang cho người đứng đầu doanh nghiệp và danh sách theo tệp, dòng để đội phát triển dùng ngay, nằm chung trong một tài liệu.

06 — DATA SOVEREIGNTY

“Ý là phải giao toàn bộ mã nguồn sao?”

Hiện thực hóa NDA bằng kiến trúc

Chúng tôi ngăn chặn bằng cấu trúc hệ thống, không chỉ bằng lời hứa. Mã nguồn chỉ được phân tích trong môi trường tách biệt với bên ngoài, tự động bị xóa theo chính sách sau khi phân tích xong, và việc xóa được lưu lại thành bằng chứng.

0 lần gửi tới LLM bên ngoài

Tự động xóa bản gốc sau phân tích + bằng chứng xóa

Cách ly quyền truy cập theo tổ chức · nhật ký kiểm toán

07 — WHY TECHSCAN

Nhìn chung, có năm cách để kiểm tra mã nguồn

  • Không làm gì cả

    Đây là lựa chọn phổ biến nhất. Thời điểm vấn đề lộ ra thường là lúc người khác mở mã nguồn ra xem.

  • Để đội phát triển tự chạy công cụ quét miễn phí

    Mỗi công cụ cho kết quả khác nhau, và đầu ra là danh sách dành cho lập trình viên. Đó không phải là tài liệu để người đứng đầu doanh nghiệp đọc và ra quyết định.

  • Đăng ký kiểm định miễn phí của khu vực công

    Có những chương trình hỗ trợ công kiểm định miễn phí giấy phép và lỗ hổng mã nguồn mở. Tuy nhiên, quý vị phải nộp mã nguồn cho cơ quan, mất vài tuần qua các bước đăng ký, xét duyệt, chờ đợi mới có kết quả, và số lần cũng như đối tượng được hỗ trợ đều có giới hạn.

  • Triển khai công cụ bảo mật thương mại

    Yêu cầu thuê bao theo năm, tính phí theo số người dùng, tích hợp CI và thiết lập chính sách. Phù hợp để vận hành lâu dài, nhưng quá nặng nề khi chỉ muốn “xem thử một lần ngay bây giờ”.

  • TechScan

    Chọn phạm vi cần kiểm tra và thanh toán theo từng lần đánh giá.

Không chỉ giấy phép, mà toàn bộ mã nguồn

Ngoài giấy phép mã nguồn mở, chúng tôi xem xét cùng lúc thông tin xác thực còn sót trong mã, lịch sử git và các luồng mã nguy hiểm.

Không phải một công cụ, mà là đối chiếu chéo

Kết quả của nhiều công cụ được đối chiếu để hiệu chỉnh các trường hợp báo sai và bỏ sót của từng công cụ quét đơn lẻ.

Không phải ngôn ngữ lập trình viên, mà là hai ngôn ngữ

Bản tóm tắt cho người đứng đầu doanh nghiệp và bằng chứng cho đội phát triển nằm chung trong một tài liệu.

Không phải dashboard, mà là tài liệu có thể nộp

Mọi kết luận đều kèm bằng chứng theo tệp và dòng, và báo cáo có hash để xác minh tính xác thực.

08 — TECHSCAN PLANS

Danh mục kiểm tra

Chọn phạm vi cần kiểm tra và thanh toán theo từng lần đánh giá.

Kiểm tra ba hạng mục bảo mật

Đơn lẻ

Kiểm tra ba hạng mục bảo mật

Rủi ro được loại bỏ

Phát hiện và ngăn nguy cơ khóa bí mật bị lộ, thành phần mã nguồn mở có lỗ hổng và lỗi bảo mật được đưa vào môi trường vận hành, dẫn đến xâm nhập hoặc rò rỉ dữ liệu.

  • Thông tin bí mật bị lộ
  • Lỗ hổng thư viện phụ thuộc
  • Phân tích bảo mật tĩnh
Giá ra mắt 149 US$ 119 US$

Kết thúc 4 thg 12, 2026 (giờ Hàn Quốc)

Giá cuối cùng bằng USD. Khách hàng chịu thuế tại địa phương.

Đăng ký kiểm tra

Kiểm tra mức độ sẵn sàng miễn phí

Nội dung tệp không được gửi. Máy chủ chỉ đối chiếu tên tệp và chỉ lưu kết quả theo nhóm tài liệu.

Giảm nguy cơ lãng phí tiền cho các kiểm tra không phù hợp bằng cách tự đánh giá miễn phí trước.

Kiểm tra mức độ sẵn sàng miễn phí

Giám sát bảo mật hằng tháng

39 US$

Giá cuối cùng bằng USD. Khách hàng chịu thuế tại địa phương.

Đừng dừng lại ở một lần đánh giá — nhận cảnh báo mỗi tháng về bí mật và lỗ hổng mới.

Kiểm tra tự động hằng tháng giúp tránh bỏ sót lỗ hổng và rò rỉ mới được công bố, ngay cả khi hôm nay hệ thống vẫn an toàn.

Đăng ký giám sát

Credit Pack

400 US$

Giá cuối cùng bằng USD. Khách hàng chịu thuế tại địa phương.

Dự định kiểm tra nhiều kho mã? Hãy nạp trước gói tín dụng để nhận thưởng.

Thay việc thanh toán nhiều lần và ngân sách phân tán bằng nạp trước tín dụng kèm thưởng, giúp quản lý ngân sách tập trung.

Nạp tín dụng

09 — FAQ

Câu hỏi thường gặp

Dịch vụ này khác gì so với công cụ miễn phí hay công cụ bảo mật thương mại?

Quý vị có thể sử dụng một lần khi cần, không phải triển khai hay thuê bao công cụ. Kết quả không phải là dashboard mà là một bản báo cáo, trong đó có bản tóm tắt cho người đứng đầu doanh nghiệp và bằng chứng theo tệp, dòng để đội phát triển dùng ngay. Việc phân tích diễn ra trong mạng khép kín, không đưa mã nguồn ra ngoài. Điều này không có nghĩa là phạm vi phát hiện hay độ chính xác tốt hơn các công cụ chuyên dụng — điểm khác biệt nằm ở hình thức sử dụng.

Mã nguồn có bị rò rỉ không?

Mã nguồn chỉ được xử lý trong môi trường phân tích khép kín, được cách ly và không được gửi tới AI bên ngoài. Việc kiểm tra diễn ra tự động mà không có người xem, và sau khi đánh giá hoàn tất, bản gốc được xóa kèm bằng chứng kiểm toán. Nếu có bằng chứng kỹ thuật cho thấy mã nguồn bị rò rỉ ra ngoài từ bên trong hệ thống của chúng tôi, chúng tôi bồi thường gấp 100 lần số tiền đã thanh toán (điều kiện và trường hợp loại trừ theo Điều 9-2 của Điều khoản sử dụng).

Người không phải lập trình viên có hiểu được không?

Bản tóm tắt 1 trang dành cho người đứng đầu doanh nghiệp nêu tác động kinh doanh và các hành động ưu tiên hàng đầu; phần chi tiết dành cho đội phát triển được tách riêng, gồm SBOM, tệp, dòng và hướng dẫn khắc phục.

Có thể đánh giá mã nguồn nhận từ bên thuê ngoài không?

Có thể, nếu mã đã được bàn giao và quyền sở hữu thuộc về quý công ty. Tuy nhiên, TechScan chỉ dành cho việc tự đánh giá mã nguồn của chính công ty, quý vị không được tải lên mã nguồn của doanh nghiệp bên thứ ba (bắt buộc cam kết khi đăng ký). Để kiểm định mã nguồn của doanh nghiệp là đối tượng xem xét đầu tư hoặc mua lại, vui lòng sử dụng TechDD Pro dành cho doanh nghiệp.

Nhà nước cũng có chương trình kiểm định miễn phí phải không?

Đúng vậy. Có các chương trình hỗ trợ công kiểm định miễn phí giấy phép và lỗ hổng mã nguồn mở, và nếu đáp ứng điều kiện thì đó là một lựa chọn tốt. TechScan khác ở ba điểm — ① không phải nộp mã nguồn cho cơ quan bên ngoài ② nhận kết quả trong 24 giờ mà không cần đăng ký hay xét duyệt ③ không chỉ giấy phép mà còn xem xét cả thông tin xác thực còn sót trong mã, lịch sử git và các luồng mã nguy hiểm.

Mất bao lâu?

Báo cáo được phát hành trong vòng 24 giờ sau khi tải mã nguồn lên.

Có được hoàn tiền không?

Quý vị được hoàn tiền toàn bộ trước khi phân tích được thực hiện. Sau khi phân tích đã bắt đầu, việc hoàn tiền bị giới hạn.

10 — FOR INVESTORS & ACQUIRERS

Quý vị là nhà đầu tư hoặc doanh nghiệp mua lại?

Với các giao dịch cần phân tích toàn bộ hạng mục cùng rà soát và chữ ký của chuyên gia cấp CTO, chúng tôi cung cấp TechDD Pro.

Tìm hiểu thẩm định kỹ thuật cho doanh nghiệp