ARK. 1System · Przewodniki

Skan na żądanie zamiast czterech poziomów obsługi.

Dzisiejszy Skaner ma cztery decyzje sklejone w jedno: co mierzyć, jak często, co zrobić z wynikiem i kto Skan zlecił. Nowy układ je rozdziela — Skan dowolnych parametrów, dowolnej strony, w dowolnym momencie, a harmonogram jest tylko jednym ze zleceniodawców. Przy okazji dwa miejsca, w których dziś nie widać, co zdecydowało o wyniku — pomiar i klasyfikacja — stają się widoczne, testowalne i powtarzalne.

Architektura jest przyjęta i w budowie. Metryki pętli uczącej (TAB. 6–10) są propozycją — czekają na dane. Przewodnik nie powtarza samego procesu: 13 etapów obiegu opisuje Pętla doskonaląca, a pojedyncze pomiary — karty parametrów.

Warstwy: 4Checks · Zlecenia · rytm · akcje
Checks do opakowania: ~30pomiary bez zmian w kontrakcie
Zlecenia na dobę: ~770obie grupy stron, szacunek
Fazy: 5każda zostawia produkcję działającą

RYS. 1Droga Skanu: Zlecenie → Check → Result → Result check → akcjaramka przerywana = dziś bez wglądu

Zlecenie to strona × zestaw Checks × priorytet × kto zlecił — jedyny sposób uruchomienia Skanu. Result jest niezmienny: nie nadpisujemy go nigdy, bo powtórka reguły potrzebuje oryginału.

TAB. 1Cztery decyzje, dziś sklejone w jednym miejscupoziom obsługi decydował o wszystkim naraz

Decyzja	Dziś	W nowym układzie
Co mierzyć	Zestaw Checks zaszyty w przepływie danego poziomu obsługi — żeby dołożyć jeden Check, trzeba ruszyć cały przepływ.	Zlecenie wskazuje Checks. Co każdy z nich mierzy i jaki Result uznaje za dobry albo zły, opisuje jego plik karta.toml — czytelnie, bez zaglądania w kod.
Jak często	Rytm wpisany w przepływ razem z resztą; zmiana rytmu to zmiana przepływu.	Rytm jako dane: grupa stron ma swój zestaw Checks i odstęp. Kolejna zmiana modelu obsługi to edycja tego opisu, nie przebudowa.
Co z wynikiem	Rozsiane po kilku miejscach: część w regułach, część w progach dostępności, część w kodzie zapisującym zadania, część w uznaniu sesji AI.	Jedno miejsce: klasyfikacja zamienia Result w Result check, a osobny opis mówi, co z Result checkiem zrobić w danej grupie stron.
Kto zleca	Tylko harmonogram. Skan pojedynczej strony „teraz” nie jest przewidziany.	Każdy przez to samo wejście: harmonogram, wiersz poleceń, panel, agent. Harmonogram jest tylko jednym ze zleceniodawców.

Każda strzałka na RYS. 1 to miejsce, w którym da się podejrzeć dane, podmienić element i puścić test. Następna zmiana modelu obsługi zmienia opis rytmu i opis akcji, nie kod.

TAB. 2Dwie grupy stron · rytm i to, co dzieje się z wynikiemalarm tylko tam, gdzie ktoś go odbiera

Grupa	Skala	Rytm	Co się dzieje z wykryciem
Grupa objęta pełną obsługąalarm	kilka stron	dostępność co 15 minut pełny skan bezpieczeństwa co 6 godzin	Alarm od razu → Finding → Audyt AI → Agenci AI na Produkcji → naprawa i Raport.
Pozostałe stronyzapis	ponad 200	widoczność raz na 24 godziny zagrożenia podstawowe raz na 72 godziny	Żadnego alarmu — wynik zostaje w zapisie i jest powodem do rozmowy z właścicielem strony o tym, czego monitoring u niego nie obejmuje.

TAB. 3Co zostawia po sobie każde uruchomienie Checkupomiar bez śladu jest nie do sprawdzenia

Nr	Krok	Co zostaje
01	Sprawdzenie wejścia	Wejście musi zgadzać się z tym, co deklaruje plik karta.toml. Zły parametr to błąd Zlecenia, nie „strona nie działa”.
02	Pomiar	Check mierzy dokładnie to, co mierzył dotąd — kontrakt pomiaru zostaje bez zmian, żeby nie wprowadzać regresji.
03	Sprawdzenie Resultu	Result niezgodny z plikiem karta.toml to awaria Checku, a nie wynik strony. To osobny stan i osobna kolejka do naprawy.
04	Zapis	Wejście, wyjście, wersja Checku, czas trwania i dziennik działania. Wersja rośnie przy każdej zmianie logiki pomiaru.
05	Dowody	Fragment, który zapalił Check: nagłówek odpowiedzi, kawałek treści, łańcuch przekierowań. Odpowiada na pytanie „dlaczego zły Result” bez powtarzania Skanu.

dobry: dobry zmierzone i zgodne z regułą — parametr jest w porządku.
zły: zły zmierzone i niezgodne z regułą — jest czym się zająć.
nie dało się sprawdzić: nie dało się sprawdzić przekroczony czas, blokada po stronie strony, wyczerpany limit zapytań do zewnętrznego rejestru. Sprawdzone i czysto to nie to samo co nie udało się sprawdzić.

Trzy stany, nie dwa. Dowody zapisujemy z maskowaniem wartości, a dla plików, w których z natury stoją hasła i klucze — wyłącznie długość, typ i skrót treści. Zapis Skanera nie ma prawa stać się składem cudzych sekretów.

TAB. 4Jak sprawdzamy klasyfikacjęResult + reguły → Result check

Narzędzie	Odpowiada na pytanie	Co daje
przypadki_regul.tomlw budowie	Czy reguła daje oczekiwany Result check dla swoich przykładów?	Zmiana reguły bez zielonych przykładów z przypadki_regul.toml nie wchodzi.
Powtórka reguły na zapisanych pomiarachw budowie	Czy nowa reguła uciszy coś, czego uciszyć nie wolno?	Różnica Result checks: stara reguła kontra nowa, na tych samych Results z historii.
Wyjaśnienie Result checkuw budowie	Dlaczego ten Result stał się alarmem, a tamten nie?	Ścieżka decyzji: który Result, która reguła, który wyjątek zadziałał.
Trafność z Raportów AIpropozycja	Ile alarmów było prawdziwych, ile fałszywych, ilu nie dało się sprawdzić?	Cztery liczby na każdy typ Findingu, policzone z Raportów AI.

Klasyfikacja jest funkcją bez skutków ubocznych: ten sam Result i te same reguły dają ten sam Result check. Przy każdym Result checku zapisujemy wersję reguł, które go wydały — bez niej nie da się powtórzyć ani porównać.

TAB. 5Weryfikacja na trzech piętrachcisza Skanera to nie to samo co zdrowe strony

Piętro	Pytanie	Czym sprawdzamy
Check	Czy mierzy poprawnie?	Przykłady w pliku karta.toml, w tym kontrola pozytywna: przykład, który MUSI go zapalić. Do tego sprawdzenie wejścia i Resultu przy każdym Skanie.
Klasyfikacja	Czy ocenia trafnie?	Przykłady z przypadki_regul.toml i powtórka reguły na zapisanych pomiarach — z różnicą Result checks.
Całość	Czy Skaner w ogóle działa?	Strona-wabik: własna witryna z celowo wstawionymi problemami (otwarty interfejs zdalny, stara wtyczka, podstawiony obcy skrypt), skanowana w najgęstszym rytmie. Jeśli wabik nie dał oczekiwanych Result checks, alarm dotyczy Skanera, nie stron klientów.

Pętla ucząca: cztery cele, cztery źródła prawdy

Metryka potrzebuje prawdy, z którą porówna wynik. Każdy z czterech celów bierze ją skądinąd — i to, a nie trudność liczenia, wyznacza koszt i kolejność. Najtańsze miary nie kosztują niczyjej minuty i liczą się na ponad 200 stronach; najcenniejsze wymagają Raportu AI, więc nie mogą być pierwsze.

Powtórny pomiar: powtórny pomiar ten sam Check, ta sama strona, znana prawda albo brak zmiany — liczy się samo, nikt nie płaci.
Raport AI: Raport AI z Audytu AI albo z pracy Agentów AI na Produkcji: naprawione, fałszywy alarm, nie dało się sprawdzić. Najcenniejsze i najdroższe.
Upływ czasu: upływ czasu ponowny Skan po tygodniach od naprawy. Nikt nie płaci, ale trzeba poczekać.
Zasada raportu: Każda liczba z mianownikiem. Poniżej progu piszemy „za mało danych”, nigdy procent.

TAB. 6Cel 1 · wykrywalność deterministyczna4 miary

Pytanie: Czy Check widzi to, co jest, i nie widzi tego, czego nie ma — powtarzalnie?
Zakres: Checks, w których ta sama strona w tym samym stanie musi dać ten sam Result: dostępność, certyfikat, nazwy domenowe, nagłówki, wystawione pliki. Większość parametrów ma wynik tak/nie albo listę, więc nie stroi się tu progu, tylko Check i regułę.

Metryka	Jak liczona	Co znaczy zły wynik	Skąd prawda
Migotanie	Udział stron, na których Result Checku zmienił się między kolejnymi Skanami, choć sama strona się nie zmieniła.	Deterministyczny Check, który migocze, ma defekt — albo „nie dało się sprawdzić” przecieka do niego jako zły Result.	powtórny pomiar
Pudło na wabiku	Odsetek Skanów, w których strona-wabik nie dała oczekiwanego Resultu.	Każde pudło to defekt Skanera, nie spokojny dzień.	powtórny pomiar
Udział „nie dało się sprawdzić”	Per Check i per przyczyna, z zapisanych Results.	Check z wysokim udziałem jest deterministyczny tylko na papierze — do poprawy jest dostęp do strony, nie reguła.	powtórny pomiar
Ucieczki	Ile razy to samo zjawisko wykrył wcześniej ktoś inny: inny Check, wtyczka na stronie albo Audyt AI.	Luka w pokryciu Checku — mierzy za wąsko.	Raport AI

Kontrola pozytywna: Strona-wabik z celowo wystawionymi plikami i otwartym interfejsem zdalnym. Licznik migotania dostaje własny przykład: podstawiony Result zmieniany co drugi Skan musi pokazać 50%. Licznik z zerem, którego nikt nie sprawdził, jest nie do odróżnienia od licznika zepsutego.

TAB. 7Cel 2 · identyfikacja niedeterministyczna5 miary

Pytanie: Kiedy heurystyka mówi „to jest to”, jak często ma rację — i czy jej poziom pewności coś znaczy?
Zakres: Wszystko, co zgaduje: rozpoznawanie infekcji (obcy skrypt, ukryta ramka, spam pozycjonerski, podmiana treści dla wyszukiwarki), odczytanie wersji wtyczki i motywu z zewnątrz oraz Audyt AI.

Metryka	Jak liczona	Co znaczy zły wynik	Skąd prawda
Precyzja typu Findingu	Prawdziwe ÷ (prawdziwe + fałszywe), 30 dni kroczące. „Nie dało się sprawdzić” poza mianownikiem, raportowane obok.	Reguła jest za szeroka — zawęź ją albo obniż poziom pewności, z którym się zapala.	Raport AI
Kalibracja pewności	Precyzja liczona osobno dla każdego poziomu: oczywiste, niepewne, prawdopodobnie fałszywe.	Jeśli „oczywiste” schodzi poniżej ~95%, zły jest poziom przypisany regule, a nie strona.	Raport AI
Koszt pomyłek	Fałszywe alarmy × koszt fałszywego alarmu + ucieczki × koszt przeoczenia; obie wagi stoją na karcie parametru.	Kolejkę strojenia ustawia koszt, nie liczba alarmów — najpierw parametr, który kosztuje najwięcej.	Raport AI
Wyjątki na regułę	Liczba wąskich wyjątków (ten sygnał na tej stronie) podzielona przez liczbę alarmów reguły.	Wyjątki się piętrzą = reguła jest zła. Nietypowe strony to wyjaśnienie, nie usprawiedliwienie.	Raport AI
Findings spoza słownika	Odsetek Findings z Audytu AI z nazwą, której nie ma w regułach.	Nazwy wymyślonej w trakcie Audytu nie da się policzyć ani porównać między Audytami. Cel: zero.	powtórny pomiar

Kontrola pozytywna: Zbiór wzorcowy: kilkanaście zapisanych Results ze znanym Result checkiem — w tym legalne integracje płatności i analityki (klasyczne fałszywe trafienia) oraz potwierdzone infekcje. Każda zmiana reguły przechodzi najpierw przez zbiór wzorcowy, dopiero potem przez powtórkę na historii.

TAB. 8Cel 3 · eliminacja infekcji5 miary

Pytanie: Czy „naprawione” znaczy, że nie ma już wejścia bez hasła — a nie tylko, że strona znowu się otwiera?
Zakres: To pętla wykonawcza Agentów AI na Produkcji, nie Skanera. Skaner dostarcza tu wyłącznie pomiar: dowód, że czyszczenie zadziałało.

Metryka	Jak liczona	Co znaczy zły wynik	Skąd prawda
Czysto po 14 i 30 dniach	Odsetek infekcji uznanych za naprawione, dla których ponowny skan po 14 i po 30 dniach nie daje żadnego sygnału z grupy „infekcja”.	Czyszczenie było niekompletne. Czternaście dni to minimum — tyle żyje ciasteczko „zapamiętaj mnie”.	upływ czasu
Kompletność listy zamknięcia	Odsetek zamknięć infekcji z odhaczonymi wszystkimi punktami listy zamknięcia włamania.	Zamknięcie „na słowo”: strona działa, więc uznajemy, że jest czysta.	Raport AI
Wektor ustalony	Przy każdym zamknięciu infekcji: tak / nie / nie dało się ustalić.	Bez wektora nie wiadomo, czy wejście zostało zamknięte — i nie ma czym tłumaczyć powrotu.	Raport AI
Artefakty spoza listy nazw	Ile śladów znalazło szukanie po zachowaniu, których nie znalazłaby lista znanych nazw plików.	Lista nazw wykrywa tylko to, co już znamy — ten licznik pokazuje, ile by uciekło.	Raport AI
Czas do czystości	Od wykrycia do naprawy potwierdzonej ponownym skanem po 14 dniach.	Wolna obsługa. Ta sama liczba jest argumentem w rozmowie z klientem.	upływ czasu

Kontrola pozytywna: Kopia strony-wabika z wstrzykniętą furtką w pliku motywu, plikiem wykonywalnym podrzuconym do katalogu wgrywanych plików i drugim kontem administratora. Ćwiczenie „posprzątaj” musi znaleźć wszystkie trzy — dokładnie te trzy rzeczy uciekły w incydencie, po którym infekcja wróciła.

TAB. 9Cel 4 · niedopuszczenie do reinfekcji4 miary

Pytanie: Czy strona, którą wyczyściliśmy, zostaje czysta — a jeśli nie, jak szybko to widać?
Zakres: Strony po infekcji, obserwowane dłużej niż trwa samo czyszczenie. Historia incydentów musi przeżyć co najmniej pół roku, inaczej najdłuższe okno nie ma czego liczyć.

Metryka	Jak liczona	Co znaczy zły wynik	Skąd prawda
Reinfekcja w 30, 90 i 180 dniach	Odsetek wyczyszczonych stron, na których w oknie pojawiła się nowa infekcja.	Wejście nie zostało zamknięte. Okno musi mieć co najmniej 90 dni: w znanym nam przypadku powrót nastąpił po dziesięciu tygodniach.	upływ czasu
Czas do reinfekcji	Dni od potwierdzonej czystości do nowej infekcji.	Krótki czas wskazuje na tę samą furtkę, długi — na nowe wejście. To dwie różne naprawy.	upływ czasu
Opóźnienie wykrycia powrotu	Od wejścia atakującego do pierwszego sygnału systemu — razem z tym, który sygnał był pierwszy.	Powrót widać dopiero po skutkach. Wiedza, który sygnał odzywa się najwcześniej, mówi, co zagęścić.	upływ czasu
Utwardzenia po infekcji	Odsetek stron po infekcji z domkniętą postawą: edycja plików wyłączona, rejestracja zamknięta, konta administratorów przejrzane, sesje unieważnione, wspierana wersja środowiska.	Zestawione z reinfekcją pokazuje, które utwardzenie naprawdę chroni, a które jest rytuałem.	powtórny pomiar

Kontrola pozytywna: Na wabiku po „wyczyszczeniu” zostawiamy celowo jedno wejście — ważną sesję administratora. Licznik reinfekcji i sygnał powrotu muszą się zapalić w założonym czasie.

TAB. 10Co liczymy od kiedykolejność wynika z tego, skąd bierze się prawda

Od kiedy	Co da się policzyć	Czego do tego trzeba
Od pierwszego Skanu	Migotanie, udział „nie dało się sprawdzić”, Findings spoza słownika.	Potrzebny tylko zapis Results — liczy się sam, na ponad 200 stronach.
Od postawienia wabika	Pudło na wabiku, ćwiczenia sprzątania i powrotu infekcji.	Potrzebna własna strona z celowo wstawionymi problemami.
Od razu, z historii	Reinfekcja i czas do reinfekcji na zamkniętych już infekcjach.	Jednorazowy przegląd historii napraw — dane już są, trzeba je policzyć.
Gdy Raporty AI obejmą więcej stron	Precyzja, kalibracja pewności, koszt pomyłek, wyjątki na regułę, ucieczki.	Przy kilku stronach tygodniowa precyzja to szum: liczymy 30 dni kroczące i nie pokazujemy liczby poniżej 20 Raportów AI.
Gdy incydent stanie się osobnym bytem	Czysto po 14 i 30 dniach, kompletność listy zamknięcia, wektor, czas do czystości, pełna reinfekcja.	Epizod strony (wykryty → w naprawie → naprawione → potwierdzony) musi mieć własny zapis, bo pojedyncze sygnały tego nie udźwigną.

Metryki liczy Skaner, a pokazuje je sekcja trafności na karcie parametru. Pięć faz budowy układa się po tych samych miejscach styku i każda zostawia produkcję działającą — kolejność prac i terminy to osobny temat, poza tym przewodnikiem.