Пасивна перевірка безпеки сайта
Введіть домен — прочитаємо те, що сервер сам показує браузеру, і скажемо, де в цьому діра. Атак і перебору немає, лише зовнішній огляд.
- Безкоштовно
- Без реєстрації
- Перевірка на нашому сервері — нічого не зберігаємо
Що показує пасивна перевірка безпеки
Половину проблем із безпекою видно ще з вулиці — не заходячи всередину. Сайт відповідає браузеру набором заголовків, віддає куки, вантажить скрипти, а іноді ще й тримає відкритими службові теки, про які власник давно забув. Ця перевірка читає рівно те саме, що бачить кожен відвідувач, і називає слабкі місця, поки їх не знайшов хтось із гіршими намірами.
Спершу дивимось на транспорт. Сайт без HTTPS шле все відкритим текстом — логін і пароль клієнта видно кожному, хто сидить на тому ж Wi-Fi. Форма, що відправляє дані на http-адресу, ламає захист навіть на захищеній сторінці. Змішаний вміст — коли безпечна сторінка підвантажує картинку чи скрипт по http — теж лишає щілину. Далі йдуть куки: без ознаки Secure вони летять по відкритому каналу, без HttpOnly їх дістає чужий скрипт зі сторінки.
Читати далі
Потім читаємо заголовки безпеки. HSTS змушує браузер завжди йти по HTTPS. CSP обмежує, звідки сторінка має право вантажити код, і рубає більшість спроб вставити чужий скрипт. X-Frame-Options не дає засунути ваш сайт у прихований фрейм і клікнути за користувача. X-Content-Type-Options забороняє браузеру вгадувати тип файлу. Немає жодного — сторінка беззахисна перед атаками, від яких ці рядки й придумані. Заодно ловимо назву й версію сервера чи движка в заголовках — зайва підказка тому, хто шукає відому діру.
Найгостріше — відкриті службові адреси. Тека `/.git/` віддає всю історію коду, а разом із нею паролі до бази й ключі, які розробник випадково закомітив. Файл `/.env` — це прямо список секретів застосунку, доступи до платіжки й пошти в один рядок. Резервна копія конфіга, забутий `phpinfo`, відкрита `server-status` — кожне з цього віддає чужій людині шматок нутрощів сайта задарма. Ми перевіряємо ці адреси звичайним GET-запитом і, якщо сервер їх показує, ставимо високий рівень: тут не «варто б колись», а «закрити сьогодні».
Часті питання
Це пентест
Ні, і ми не називаємо це так навмисно. Пентест — це коли з дозволу власника сайт пробують зламати по-справжньому: підбирають паролі, шукають інʼєкції, лізуть в адмінку. Тут нічого такого немає. Ми читаємо заголовки відповіді й відкриваємо кілька загальновідомих адрес звичайним запитом — рівно те, що сервер сам показує будь-якому браузеру.
Перевірка нічого не знайшла — це точно добре
Так, порожній результат — нормальний і хороший результат, а не привід сумніватись. Ми не малюємо червону шкалу «37 загроз», щоб налякати й продати послугу. Називаємо рівно те, що знайшли, і рівно те, що воно означає. Разом із тим це зовнішній огляд: він не бачить дірок у коді, у правах доступу чи в базі — туди дивляться вже зсередини.
Чи можна так перевірити чужий сайт
Технічно ви введете будь-який домен. Але сканувати чужий сайт без дозволу власника незаконно, тому кнопки «зламати будь-що» тут немає й не буде. Перевіряйте свій сайт або той, на який маєте письмовий дозвіл. Повну перевірку зсередини — з доступом до сервера й погодженням власника — робить наша людина, це вже окрема послуга.
Знайшли відкритий `.git` — наскільки це серйозно
Це найгірше, що перевірка може показати. Через відкриту `/.git/` завантажують увесь код сайта, а в коді майже завжди лежать паролі до бази й ключі до сервісів. Те саме з `/.env` — це файл із секретами застосунку. По суті чужа людина дістає ключі від дому, не зламуючи замок. Якщо бачите таку знахідку з високим рівнем — закривайте доступ сьогодні, а потім міняйте всі паролі, які там могли світитися.
Ще інструменти
Інструмент показав проблему, а полагодити нема кому?
Ми робимо сайти, магазини й підтримку — від адреси домену до пошти, яка не потрапляє у спам.
Натискаючи кнопку, ви погоджуєтесь з політикою приватності
Харків · Київ
