Защищено ли соединение
Устанавливается ли HTTPS-соединение с доверенным сертификатом и включено ли требование HTTPS.
Проверьте, как
защищён ваш сайт.
Найдите слабые места в базовых настройках. Получите объяснение и список того, что передать разработчику.
HTTPS, настройки и уязвимые конфигурации: проверки с понятными границами.
- 1. Сайт
- 2. Доступ
- 3. Отчёт
Вход в закрытую бета-версию
Введите пароль, полученный от владельца сервиса.
Начнём с адреса
Для сайта, которым вы управляете.
Подтвердите доступ
Добавьте небольшой файл на . Это подтверждает, что вы можете управлять сайтом.
- Передайте файл разработчику или загрузите его в папку
.well-knownв корне сайта. - Файл должен открываться по этому адресу:
Файл действует 30 минут. После проверки его можно удалить. Если доступ есть только к www-версии, укажите именно её.
Пример на вымышленных данных. Сайт не проверялся.
Результат проверки
«Требует внимания» — это настройка для проверки с разработчиком, а не доказанный способ взлома. Сначала рассмотрите эти пункты, затем непроверенные области.
Что осталось за пределами проверки
В закрытой бета-версии отчёт хранится 24 часа. Скачайте его, если он понадобится позже.
Последние проверки
Что вы узнаете
Какие настройки и утечки проверить
Какие настройки страниц и cookies требуют внимания. Доступны ли посторонним служебные файлы и каталоги.
Что передать разработчику
Наблюдения, понятные рекомендации и технические детали в одном отчёте, который можно скачать.
Перед проверкой
Это проверка «на взлом»?
Сервис анализирует страницы и настройки, ищет открытые служебные файлы и каталоги. Дополнительно можно выбрать SQLi и отражённый XSS, два CVE-шаблона, антивирусную проверку и небольшой нагрузочный тест. В отчёте указаны границы каждого режима. Полноту поиска всех уязвимостей сервис не гарантирует.
Что сервис делает с сайтом?
Проверяет доступ, затем ограниченно обходит страницы и запрашивает несколько служебных адресов. При выборе SQLi/XSS изменяет параметры найденных GET-адресов. Не входит в аккаунты. Значения cookies и секретов не включаются в отчёт.
Почему нужно подтвердить доступ?
Чтобы проверять только сайты, которыми вы управляете. Попросите разработчика разместить файл: менять страницы сайта для этого не нужно.
Можно получить гарантию безопасности?
Нет. Даже отсутствие замечаний по этим настройкам не исключает уязвимости в коде, доступах и бизнес-логике сайта.