Перейти к содержимому
SEOAudit

Пассивно · Без вмешательства

Проверка безопасности сайта онлайн: заголовки, SSL/TLS и DNS

Бесплатная пассивная проверка безопасности сайта по URL: заголовки безопасности (HSTS, CSP, X-Frame-Options), состояние HTTPS и сертификата, флаги cookie и почтовая аутентификация. Сканер отправляет только обычные публичные запросы и ничего не эксплуатирует.

Проверить безопасность сайтаПерейти к SEO-аудиту

На что смотрит проверка безопасности

Отчёт сосредоточен на настройках, которые видны снаружи. Именно там часто скрываются слабости, которых можно избежать.

  • Заголовки безопасности

    Content-Security-Policy, Strict-Transport-Security (HSTS), защита от встраивания во фреймы, Referrer-Policy, Permissions-Policy и X-Content-Type-Options, включая слабые политики и политики в режиме report-only.

  • HTTPS и сертификат SSL/TLS

    Редирект с HTTP на HTTPS, срок действия и валидность сертификата, соответствие имени хоста, неполные цепочки, самоподписанные сертификаты и согласованный протокол.

  • Cookie и междоменные настройки

    Флаги Secure, HttpOnly и SameSite у cookie, похожих на сессионные, и слишком разрешающие заголовки CORS. Значения cookie не сохраняются.

  • DNS и почтовая аутентификация

    Записи SPF, DMARC и CAA для домена. Оцениваются, только если домен действительно принимает почту.

  • Признаки лишней открытости

    security.txt, публичные source maps, subresource integrity и надёжно опознаваемые шаблоны секретов на странице. Найденные значения не сохраняются.

Как читать результаты

Находка описывает то, что было замечено. Это не утверждение, что сайт был или может быть взломан.

  • Серьёзность и уверенность

    У каждой находки есть уровень серьёзности и уровень уверенности, поэтому предположение со средней уверенностью не выдаётся за подтверждённую критическую проблему.

  • Рекомендации по исправлению

    Для каждой проблемы объясняется влияние, приводится пример настройки и описано, как проверить исправление.

  • Проверки, которые не удалось выполнить

    Если проверка завершилась по тайм-ауту или не смогла выполниться, она помечается как неоценённая и никогда не влияет на ваш балл.

Пассивность по замыслу

Публичный сканер задуман так, чтобы его было безопасно запускать на сайте, за который вы отвечаете.

  • Обычные публичные запросы

    Небольшое ограниченное число GET-запросов, одно TLS-рукопожатие и DNS-запросы. Никаких нагрузочных данных, фаззинга, перебора паролей и сканирования портов.

  • Только публичные адреса

    Частные и внутренние адреса отклоняются, а каждый редирект проверяется заново, прежде чем по нему переходят.

  • Минимум сохраняемых данных

    В отчётах остаются имена cookie, но не значения, а шаблоны секретов указываются по типу и количеству, без найденного текста.

Что входит в анализ сайта на безопасность: перечень проверок

В каждой карточке указаны идентификаторы находок из отчёта. Всё перечисленное берётся из публичных ответов, DNS и одного рукопожатия TLS. Проверка, которую не удалось выполнить, помечается как неоценённая, а не как пройденная.

  1. Доступность HTTPS

    Отвечает ли сайт по HTTPS и не понижается ли соединение до обычного HTTP.

    https.missing, https.downgrade

  2. Редирект с HTTP на HTTPS

    Запрос на HTTP-адрес главной страницы с проходом до трёх редиректов.

    https.no_redirect

  3. Срок действия сертификата и имя хоста

    Просроченные, ещё не действующие или скоро истекающие сертификаты и несовпадение имени хоста.

    tls.expired, tls.expiring, tls.hostname

  4. Цепочка сертификатов

    Неполная цепочка (нет промежуточного сертификата) отличается от самоподписанного или недоверенного сертификата.

    tls.chain, tls.selfsigned, tls.untrusted

  5. Согласованный протокол TLS

    Наблюдается только протокол, согласованный в обычном рукопожатии. Поддержка старых версий не проверяется.

    tls.legacy

  6. Strict-Transport-Security

    Наличие HSTS, короткий max-age и охват поддоменов. Оценивается для ответов по HTTPS на именах хостов.

    hdr.hsts.missing, hdr.hsts.weak

  7. Content-Security-Policy

    Отсутствие политики, режим только отчёта и слабые шаблоны вроде unsafe-inline без nonce или хеша.

    hdr.csp.missing, hdr.csp.weak

  8. Защита от clickjacking

    frame-ancestors в заголовке CSP или X-Frame-Options.

    hdr.frame.missing, hdr.frame.weak

  9. X-Content-Type-Options

    Директива nosniff.

    hdr.xcto.missing

  10. Referrer-Policy и Permissions-Policy

    Отсутствующие заголовки и небезопасные значения Referrer-Policy.

    hdr.referrer.missing, hdr.permissions.missing

  11. Флаги cookie

    Secure, HttpOnly и SameSite. Имена, похожие на сессионные или авторизационные, оцениваются строже. Значения cookie не сохраняются.

    cookie.secure, cookie.httponly, cookie.samesite

  12. Заголовки CORS

    Подстановочные источники вместе с credentials и null origin по обычному ответу. Чужие origin не отправляются.

    cors.wildcard_credentials, cors.null_origin

  13. SPF

    Оценивается, только если у домена есть почтовый сервер. Число DNS-запросов считается для записи верхнего уровня.

    dns.spf.missing, dns.spf.permissive

  14. DMARC

    Отсутствующая или некорректная запись, политика только мониторинга и параметр процента.

    dns.dmarc.missing, dns.dmarc.invalid

  15. CAA

    Информационная проверка наличия записи CAA.

    dns.caa.missing

  16. security.txt

    Наличие, полнота и срок действия /.well-known/security.txt.

    sectxt.missing, sectxt.expired

  17. Смешанный контент и формы

    HTTP-ресурсы на HTTPS-странице, формы с отправкой на HTTP и поля пароля, передаваемые по HTTP.

    mixed.content, form.insecure_action, form.password_http

  18. Секреты в HTML

    Шесть шаблонов высокой уверенности: блоки закрытых ключей, ключи Stripe live, токены GitHub и другие. Найденное значение никогда не сохраняется.

    secret.exposed

  19. Source maps и Subresource Integrity

    Source maps, на которые ссылается страница (указывается путь, файл не скачивается), и сторонние скрипты без атрибутов целостности.

    sourcemap.public, sri.missing

  20. Раскрытие информации

    Версии сервера и фреймворков в заголовках, трассировки стека на странице 404 и комментарии с внутренними адресами.

    hdr.disclosure, disclosure.error_page

Как выглядит находка в отчёте

Текстовый образец одной находки с полями, которые показывает отчёт. Это иллюстрация формата, а не результат для реального сайта.

hdr.hsts.missing

Strict-Transport-Security отсутствует

Серьёзность и уверенность
Важная, высокая уверенность.
Что обнаружено
Заголовок Strict-Transport-Security не отправляется в ответе по HTTPS.
Что это значит
HSTS предписывает браузеру использовать для этого домена только HTTPS в течение заданного срока.
Почему это важно
Без HSTS первое соединение в открытом виде остаётся возможным и может быть перехвачено (SSL stripping) во враждебной сети.
Как исправить
Отправляйте заголовок после проверки HTTPS на всех поддоменах.
Как проверить
curl -sI https://<домен>/ | grep -i strict-transport должен вывести заголовок.

Пример исправления

Strict-Transport-Security: max-age=31536000; includeSubDomains

Рамки и ограничения проверки безопасности

Пассивная проверка настроек полезна и честно говорит о том, чего не видит.

  • Пассивная проверка настроек

    Заголовки, защита транспорта, cookie, почтовые записи DNS и признаки лишней открытости, которые видны в публичных ответах.

    Доступно сейчас

  • Тестирование на проникновение и сканирование эксплойтов

    Анонимный сканер не пытается ничего эксплуатировать. Авторизованное ручное тестирование является отдельной услугой, которую выполняют специалисты.

    Недоступно

  • Полная оценка уязвимостей

    Не выполняются ни сканирование портов, ни перебор каталогов, ни тесты с авторизацией, ни проверка логики приложения.

    Недоступно

  • Юридическое заключение о соответствии

    Находки вроде HTTPS или флагов cookie могут помочь при проверке на соответствие GDPR, но сканирование никогда не подтверждает соответствие GDPR или иным нормам.

    Недоступно

Вопросы о проверке безопасности сайта онлайн

Это тест на проникновение?

Нет. Это пассивная проверка конфигурации, видимой публично. Ничего не эксплуатируется. Авторизованное практическое тестирование является отдельной услугой.

Какие заголовки безопасности проверяет сканер?

Strict-Transport-Security, Content-Security-Policy, frame-ancestors или X-Frame-Options, X-Content-Type-Options, Referrer-Policy и Permissions-Policy. Слабые политики и политики только с отчётами тоже отмечаются.

Безопасно ли запускать это на рабочем сайте?

Сканирование отправляет небольшое число обычных запросов с ограниченными тайм-аутами и без атакующих нагрузок, поэтому ведёт себя примерно как посетитель или инструмент мониторинга.

Можно ли сканировать любой сайт?

Только публично доступные. Приватные и внутренние адреса отклоняются. Проверяйте сайты, которыми вы владеете или которые вам разрешено оценивать.

Доказывает ли проверка соответствие GDPR?

Нет. Она сообщает технические сигналы, например HTTPS и флаги cookie, которые могут помочь при проверке конфиденциальности и безопасности. Это не юридическая оценка и не сертификация.

Моя оценка низкая. С чего начать?

Начните с критичных и важных находок в начале отчёта, обычно это HTTPS, сертификат и отсутствующие заголовки, а затем проверьте сайт повторно, чтобы подтвердить каждое исправление.

Узнайте, что ваш сайт показывает наружу

Бесплатное пассивное сканирование занимает секунды и подсказывает, что исправлять в первую очередь.

Проверить безопасность сайта