Skanowanie strony online: jak skaner czyta twoją witrynę

Co się dzieje podczas skanowania strony online: jak wybierane są podstrony, po co przeglądarka, co z robots.txt i czemu raport różni się od tego, co widzisz.

Infrastruktura · Opublikowano: 9 października 2026 · 6 min czytania · Анна Ковалёва

Wklejasz adres, czekasz minutę i dostajesz raport. Pomiędzy tymi chwilami skaner wysyła dziesiątki zapytań HTTP, otwiera przeglądarkę bez interfejsu i decyduje, które podstrony w ogóle warto przeczytać. Zrozumienie, jak od środka działa skanowanie strony online, to nie ciekawostka: tłumaczy większość sytuacji „u mnie w przeglądarce wszystko działa” i pokazuje, na ile można ufać raportowi.

Krok pierwszy: strona startowa i przeglądarka

Każdy skan zaczyna się od jednego adresu. Skaner go pobiera, przechodzi przez przekierowania do docelowego URL-a i zapisuje każdy skok — tu po raz pierwszy wychodzi łańcuch w rodzaju http → https → www → /pl/ (więcej w opisie przekierowań do strony startowej).

Następnie strona główna otwierana jest w prawdziwym Chromium w trybie headless. Z dwóch powodów. Po pierwsze, współczesne witryny budują część treści w JavaScripcie i wynik widzi tylko przeglądarka. Po drugie, wiele hostów stoi za CDN-em lub WAF-em, który każdemu, kto nie wykonuje skryptów, pokazuje stronę „sprawdzamy twoją przeglądarkę”. Przeglądarka pozwala tej weryfikacji się zakończyć. W tej samej sesji zapisywane są błędy konsoli i nieudane żądania, których zwykły klient HTTP w ogóle nie widzi.

Krok drugi: które podstrony czytać

Skaner to nie wyszukiwarka. Nie próbuje przeczytać całej witryny — bierze próbkę. Kandydaci pochodzą z linków na stronie startowej i z mapy witryny, a przed wyborem lista jest czyszczona:

• adresy są normalizowane: /page, /page/ i /page?utm_source=x to jedna podstrona, nie trzy; zostają tylko parametry, które naprawdę wyznaczają osobną stronę (np. page, category, product);
• pułapki są pomijane: niekończące się kalendarze, ścieżki z powtarzającym się segmentem, zbyt długie i zbyt głębokie adresy, pętle przekierowań;
• pliki, które nie są stronami — obrazy, PDF-y, archiwa — nie trafiają do próbki.

Z oczyszczonej puli wybieranych jest kilka podstron. Darmowy skan czyta ich niewiele, ale to wystarcza, by złapać błędy szablonów: jeśli szablon produktu nie ma canonical, nie ma go żadna karta produktu. Kolejne sprawdzenie obserwowanej witryny czyta te same podstrony co poprzednio, więc dwa raporty da się uczciwie porównać.

Krok trzeci: uprzejmy robot

Skan nie powinien wyglądać jak atak. SiteScan przedstawia się jednym rozpoznawalnym User-Agentem, żeby witryna mogła go świadomie wpuścić albo odrzucić, robi przerwę między zapytaniami do tego samego hosta, ponawia żądanie po 429 i przejściowych 5xx z poszanowaniem Retry-After i mieści się w stałym budżecie czasu. Gdy witryna odpowiada za wolno, skan zatrzymuje się na limicie, a raport wprost podaje, których podstron i sprawdzeń nie zdążył wykonać.

Jeśli zamiast witryny odpowiedziała warstwa ochronna, podstrona jest oznaczana jako zablokowane sprawdzenie, a nie jako twój błąd. Sekcja o przebiegu skanu pokazuje User-Agent, tempo, ponowienia i wszystkie odpowiedzi 403 z podziałem na WAF i samą witrynę.

A co z robots.txt

robots.txt jest adresowany do robotów wyszukiwarek, które przeszukują sieć według własnego harmonogramu. Skan, który sam uruchamiasz dla swojej witryny, to wizyta innego rodzaju, a dla skanera robots.txt jest przede wszystkim przedmiotem kontroli. Raport czyta plik i pokazuje, czy nie blokuje on robotów, czy nie ukrywa przed nimi CSS i JavaScriptu, czy wskazuje mapę witryny i czy ta mapa jest poprawna. Zapomniane po stagingu Disallow: / to jeden z najdroższych błędów — i dokładnie to, co skaner wyłapuje najlepiej; szczegóły w artykule o sitemap i robots.txt.

Dlaczego raport różni się od przeglądarki

Lokalizacja i IP. Skaner łączy się z centrum danych. Przekierowania geograficzne, regionalne CDN-y i reguły antybotowe mogą traktować go inaczej niż twoje domowe łącze.

Bez cookies i bez logowania. Ty widzisz witrynę jako powracający, zalogowany gość, który zaakceptował baner cookies. Skaner za każdym razem jest nowym, anonimowym odwiedzającym.

Cache. Twoja przeglądarka i CDN mogą trzymać wczorajszą wersję. Z drugiej strony gotowy raport jest używany ponownie przez 15 minut, żeby link wysłany koledze nie uruchamiał nowego skanu; po wdrożeniu kliknij „Skanuj ponownie”.

Laboratorium a dane terenowe. Szybkość strony głównej pochodzi z Google PageSpeed Insights: test laboratoryjny na emulowanym urządzeniu oraz — przy wystarczającym ruchu — dane prawdziwych użytkowników z Chrome UX Report. LCP 3,1 s w laboratorium i 2,2 s w terenie to obie prawdziwe liczby; sprawdź, skąd pochodzą dane, i porównaj z progami Core Web Vitals: LCP ≤ 2,5 s, CLS ≤ 0,1, INP ≤ 200 ms.

Treść doładowywana później. To, co pojawia się dopiero po kliknięciu, może do raportu nie trafić.

Jak wycisnąć ze skanu najwięcej

1. Zaczynaj od adresu, którego używają prawdziwi odwiedzający — najlepiej docelowego, po przekierowaniach.
2. Najpierw sprawdź przebieg skanu: jeśli podstrony zostały zablokowane, najpierw otwórz dostęp, potem czytaj wyniki.
3. Błąd znaleziony na jednym szablonie traktuj jako błąd na wszystkich stronach tego szablonu.
4. Po poprawce zeskanuj ponownie i porównaj — nie opieraj się na starym raporcie.

Żeby spróbować, uruchom darmowy skan swojej witryny; strona produktu opisuje, co sprawdza każdy analizator, a artykuł o sprawdzaniu strony online pokazuje, jak wygląda wynik.