Svetainių saugumas suprantama kalba
Įveskite svetainės adresą ir gaukite nemokamą saugumo ataskaitą: ką radome, kokia rizika ir ką daryti.
✓ nemokamas skenavimas✓ be registracijos
Ką gausite
Gaunantys pašto serveriai negauna nurodymų, ką daryti su suklastotais jūsų domeno laiškais, todėl tokie laiškai dažnai pristatomi.
Sprendimas → Pridėkite TXT įrašą _dmarc.example-shop.com, pvz. "v=DMARC1; p=quarantine; rua=mailto:[email protected]". Pradėkite nuo p=none (stebėjimas), vėliau pereikite prie quarantine arba reject.
xmlrpc.php – dažnas slaptažodžių spėliojimo ir srauto stiprinimo atakų taikinys.
Sprendimas → Jei XML-RPC nenaudojate, išjunkite jį (įskiepiu arba serverio taisykle).
Naršyklės taisyklę „tik HTTPS“ prisimena tik 3600 s., vėliau grįžęs lankytojas vėl gali būti nukreiptas į nešifruotą ryšį. Rekomenduojama bent 6 mėn.
Sprendimas → Padidinkite iki: Strict-Transport-Security: max-age=31536000; includeSubDomains
Visa pavyzdinė ataskaita (10 radinių, instrukcijos žingsnis po žingsnio, puslapio greitis) →
Įrašykite domeną. Patikra nemokama, dažniausiai trunka iki minutės; svetainę tikriname iš išorės, neprisijungdami ir nieko nekeisdami.
Radinių sąrašas pagal riziką. Kiekvienas paaiškina problemą ir ką daryti – parašyta svetainės savininkui, ne tik programuotojui.
Daugumai radinių pateikiame instrukcijas arba konfigūracijos pavyzdį. Jei nenorite taisyti patys, parašykite [email protected] – peržiūrėsime svetainę ir atsakysime.
Visos patikros atliekamos iš išorės: jūsų svetainėje nieko neįdiegiama ir nekeičiama.
HTTPS veikimas, nukreipimas iš HTTP į HTTPS, nukreipimų grandinės, SSL sertifikato galiojimas, nesaugus (HTTP) turinys HTTPS puslapyje.
HSTS, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ir Permissions-Policy antraštės bei dažnos jų nustatymo klaidos.
Sekimo skriptai (Google, Meta, Hotjar, TikTok…) be matomos sutikimo juostos, sekimo slapukai, įrašomi prieš sutikimą, slapukų Secure ir HttpOnly žymos.
SPF, DMARC ir dažniausi DKIM selektoriai (apsauga nuo laiškų, siunčiamų jūsų vardu), taip pat CAA (kas gali išduoti jūsų SSL sertifikatą).
Dažnai pamirštami failai: .env, .git, duomenų bazių ir svetainės atsarginės kopijos, seni konfigūracijos failai, phpinfo. Tikrinama tik patvirtinus, kad esate savininkas arba turite leidimą.
CISA KEV, NVD, OSV ir WPScan duomenų bazėse ieškome matomų TVS, PHP, įskiepių ir JavaScript versijų spragų, pridedame EPSS išnaudojimo prognozes, kai jos yra.
Šlamšto juodieji sąrašai (SpamCop, Barracuda, Spamhaus), Google Safe Browsing, atviri serverio IP prievadai (Shodan) ir viešuose sertifikatų žurnaluose matomi subdomenai.
Pasirinktinas Google Lighthouse auditas: greitis, prieinamumas, gerosios praktikos ir SEO – keturi atskiri balai.
| Nemokamas skenavimas, be paskyros | ✓ |
| Paaiškinimai aiškia kalba (lietuviškai ir angliškai) | ✓ |
| Sprendimai žingsnis po žingsnio, kur įmanoma – su konfigūracijos pavyzdžiais | ✓ |
| Pagalba taisant | Parašykite mums |
Taip. Patikra ir visa ataskaita nemokamos, paskyros nereikia. El. pašto adreso prašome tam, kad galėtume atsiųsti ataskaitą; stebėsenos pranešimai – tik jei jų norite.
Ne. Patikra – tai kelios dešimtys įprastų puslapio užklausų, tokių pat, kokias siunčia lankytojo naršyklė. Neprisijungiame, nepildome formų, nesiunčiame atakų užklausų, svetainėje nieko nediegiame ir nekeičiame. Tiksliai, ką užklausia mūsų skeneris (anglų k.).
Dalis patikrų bando atidaryti failus, kurie niekada neturėtų būti vieši (.env, atsarginės kopijos, duomenų bazės kopijos), ir ieško administravimo sąsajų subdomenuose. Jas vykdome tik tada, kai patvirtinate, kad esate savininkas arba turite leidimą svetainę tikrinti.
Visko, kas yra už prisijungimo arba pačiame serveryje: failuose paslėpto kenkėjiško kodo, silpnų slaptažodžių, duomenų bazės, programinės įrangos, kuri nepalieka pėdsakų puslapyje. Tai nėra įsilaužimo testas. Geras pažymys reiškia, kad dažniausios iš išorės matomos klaidos sutvarkytos, o ne kad į svetainę neįmanoma įsilaužti.
Naudojame juos patikrai atlikti ir ataskaitai atsiųsti. Patikrų įrašus saugome iki 12 mėnesių, ataskaitų nuorodos nustoja galioti po 30 dienų, duomenų rinkodarai neparduodame ir niekam neperduodame. Privatumo politika (anglų k.).
Skenuodami pažymėkite varnelę ir patvirtinkite el. paštu. Tada svetainę tikriname kartą per savaitę ir kas 15 minučių žiūrime, ar pradinis puslapis atsako. Laišką gaunate, kai pažymys pablogėja arba svetainė nustoja veikti; kiekviename laiške yra atsisakymo nuoroda.
Daugumai radinių pateikiame instrukcijas žingsnis po žingsnio arba paruoštą konfigūracijos pavyzdį. Jei nenorite taisyti patys, parašykite [email protected] – peržiūrėsime svetainę ir atsakysime.