Аудит безопасности сайта

Внешняя проверка того, как сайт защищает посетителей: HTTPS и сертификат, заголовки безопасности, куки, смешанный контент, CORS и файлы, которые деплой не должен публиковать.

• Все услуги

Аудит безопасности отвечает на один практический вопрос: что видит злоумышленник, когда смотрит на ваш сайт снаружи, и какие двери оставлены открытыми, хотя закрыть их почти ничего не стоит. SiteScan.top смотрит на сайт ровно так, как его видит любой посетитель или бот, — без доступа к серверу, без установки агентов и без изменений в коде — и превращает найденное в список конкретных исправлений с приоритетом у каждого.

Что входит в аудит

HTTPS и сертификат. Проверяем, что сайт отвечает по HTTPS и перенаправляет туда обычный HTTP, что сертификат действителен, выпущен на правильное имя и не истекает в ближайшие недели, что цепочка полная, а подпись современная. Показываем, какие версии TLS сервер всё ещё принимает: TLS 1.0 и 1.1 отозваны, и сервер, который их поддерживает, не проходит проверки соответствия и оставляет возможность для атак понижения протокола.

Заголовки безопасности. Заголовки ответа решают, насколько браузер может доверять странице. Аудит читает все значимые:

• Strict-Transport-Security — включён ли HSTS, сколько браузер его помнит, покрыты ли поддомены и подходит ли домен для preload-списка браузеров;
• Content-Security-Policy — есть ли политика вообще и ограничивает ли она скрипты на деле или разрешает unsafe-inline и любые хосты;
• X-Frame-Options и frame-ancestors — защита от кликджекинга, когда вашу страницу незаметно встраивают в чужую;
• X-Content-Type-Options, Referrer-Policy, Permissions-Policy — небольшие заголовки, которые одной строкой конфигурации закрывают целые классы проблем.

Смешанный контент и куки. Страница по HTTPS, которая грузит скрипт или картинку по HTTP, защищена не лучше самого слабого ресурса. Обход показывает каждый такой ресурс на каждой посещённой странице. Куки проверяются на флаги Secure, HttpOnly и SameSite: без них сессионная кука может уйти по незашифрованному соединению или быть прочитана внедрённым в страницу скриптом.

CORS и опасные методы. Отправляем запрос с чужого источника и смотрим на ответ. Сервер, который возвращает любой Origin и разрешает передачу учётных данных, позволяет любой странице, открытой авторизованным посетителем, читать ваш сайт от его имени. Также проверяем, отвечает ли сервер на TRACE — метод, который не нужен ни одному сайту.

Открытые файлы. Иногда деплой публикует то, что не должен публиковать никогда: .env с паролями от базы, каталог .git со всей историей исходников, SQL-дампы и архивы, листинги директорий, source maps JavaScript. Каждая находка подтверждается содержимым ответа, а не только кодом статуса, поэтому страница «200 OK» с надписью «не найдено» не попадёт в отчёт как утечка.

Соглашения безопасности. Файл /.well-known/security.txt подсказывает исследователям, куда сообщать об уязвимости; адрес change-password позволяет менеджерам паролей отправить пользователя сразу к нужной форме. Ни то ни другое не обязательно, но оба — признак зрелого сайта.

Как это работает

Вы вводите адрес сайта и запускаете сканирование. Сканер открывает страницы в настоящем браузере, проходит по внутренним ссылкам и выполняет проверки сервера. Каждый запрос — обычный запрос, который мог бы сделать посетитель: аудит не подбирает пароли, не отправляет эксплойты и не создаёт нагрузки на сайт. Типичное сканирование занимает одну-две минуты.

Что вы получаете

Результат — отчёт с общей оценкой безопасности и списком находок, отсортированных по критичности. В каждой находке сказано, что найдено, по какому адресу, почему это важно и как исправить, — обычно с готовой строкой конфигурации для nginx, Apache или приложения. Находки, которые являются вопросом выбора, а не дефектом (DNSSEC, CAA, HSTS preload), помечены как необязательные, чтобы не заслонять важные.

Отчётом можно поделиться по ссылке, выгрузить его в PDF для клиента или подрядчика или скопировать как готовое ТЗ для разработчика. Добавьте сайт в мониторинг — и аудит будет повторяться по расписанию: если релиз уберёт заголовок или сертификат приблизится к сроку окончания, вы получите письмо или сообщение в Telegram, а не узнаете об этом от пользователей.

Кому это нужно

Аудит полезен перед запуском нового сайта, после переезда на другой хостинг или CDN, перед пентестом (чтобы пентестеры потратили бюджет на настоящие проблемы, а не на отсутствующие заголовки) и как регулярная проверка для агентств, которые сопровождают десятки клиентских сайтов. Он не заменяет полноценный тест на проникновение, но за минуты и за малую долю стоимости находит самые частые ошибки конфигурации.