# Scanare de securitate a site-ului în mai puțin de un minut.

Scanare de securitate a site-ului pentru firme mici. Verificați HTTPS, antetele de securitate, înregistrările de e-mail și instrumentele de urmărire, apoi descărcați un PDF cu remedierile.

## Ce verifică o scanare de securitate a site-ului?

Scanarea rulează 28 de verificări pe pagina principală. Acoperă HTTPS și redirecționările, antetele de securitate, cookie-urile, înregistrările de e-mail și DNS, scripturile terțe, instrumentele de urmărire și bibliotecile învechite. Fiecare rezultat spune ce trebuie reparat, ce merită verificat și ce nu am putut verifica.

### Conexiune HTTPS

Site-ul răspunde criptat și cere browserelor să folosească în continuare HTTPS?

### Protecția browserului

Poate site-ul să blocheze scripturile nedorite, să împiedice alte site-uri să îl încorporeze și să oprească browserele să ghicească tipurile de fișiere?

### Cookie-uri, urmărire și software

Verificăm setările cookie-urilor, instrumentele de urmărire care se încarcă înainte de acordul vizitatorilor, bibliotecile JavaScript învechite și versiunile software pe care le dezvăluie site-ul.

## Folosește mai bine o scanare de securitate a site-ului

### Ce arată o scanare de securitate a site-ului

O scanare de securitate a site-ului arată setările pe care pagina principală le trimite fiecărui vizitator. Verificăm HTTPS, antetele de securitate, cookie-urile, înregistrările de e-mail, instrumentele de urmărire și software-ul pe care îl dezvăluie site-ul. Folosiți scanarea de securitate a site-ului ca să pregătiți întrebări pentru dezvoltator și să păstrați o situație datată înainte de orice modificare.

### Cum citești o scanare de securitate a site-ului

Scanarea de securitate a site-ului împarte rezultatele în verificări urgente pentru furnizorul de găzduire, setări de reparat și alegeri care depind de site-ul dumneavoastră. Un antet opțional lipsă nu este semnul unui atac. Scorul unei scanări de securitate a site-ului merge de la 0 la 100 și numără verificările trecute. Culorile vă spun la ce să vă uitați mai întâi.

### Înainte și după o scanare de securitate a site-ului

Rulați o scanare de securitate a site-ului înainte să schimbați găzduirea sau setările de securitate, ca să aveți un punct de comparație. Verificați paginile de plată, autentificarea și serviciile încorporate înainte să înăspriți regulile. După aceea, rulați o nouă scanare, comparați-o cu raportul vechi și testați site-ul într-un browser real. Păstrați actualizările și securitatea conturilor în întreținerea obișnuită.

### Distribuie o scanare de securitate a site-ului dezvoltatorului

O scanare de securitate a site-ului este mai ușor de pus în practică atunci când persoana care face lucrarea o poate vedea. Descărcați PDF-ul sau trimiteți linkul raportului dezvoltatorului. Fiecare raport arată când a fost făcută scanarea. Proprietarul site-ului poate publica și raportul, după ce dovedește că controlează site-ul.

## Întrebări despre securitatea site-ului

### O scanare de securitate a site-ului dovedește că site-ul este sigur?

Nu. Verifică un set de setări publice. Nu poate găsi orice vulnerabilitate, malware, eroare de cod sau cont spart. Un audit de securitate complet merge mult mai departe.

### O scanare de securitate a site-ului afectează site-ul?

Aproape deloc. Scanarea interoghează înregistrările DNS, cere pagina principală prin HTTPS și HTTP simplu, urmează până la cinci redirecționări, citește security.txt și încarcă pagina principală o dată într-un browser în cloud. Nu vizitează alte pagini, nu trimite formulare, nu se autentifică și nu încearcă atacuri. Dacă site-ul blochează scanarea, rezultatul va fi incomplet.

### De ce este o scanare de securitate a site-ului limitată la două verificări zilnice?

Limita păstrează instrumentul gratuit și evită traficul inutil către site-uri.

### Ce înseamnă culorile la o scanare de securitate a site-ului?

Roșu înseamnă că furnizorul de găzduire trebuie să verifice ceva urgent, de exemplu o versiune PHP veche cu o vulnerabilitate critică cunoscută. Portocaliu înseamnă că o setare trebuie reparată. Albastru înseamnă că merită o privire mai atentă. Verde înseamnă că verificarea a trecut. Gri înseamnă că nu am putut verifica. Niciuna dintre aceste culori nu înseamnă că site-ul a fost spart.

### Poate o scanare de securitate a site-ului detecta PHP2Shell?

Poate semnala o versiune PHP mai veche decât versiunile corectate. Antetele de versiune pot fi greșite, ascunse sau modificate, iar unii furnizori corectează și versiunile vechi. Cereți furnizorului de găzduire să confirme versiunea PHP instalată și patch-urile. Nu trimitem niciodată cereri de atac. Un antet PHP lipsă nu înseamnă că PHP lipsește sau că este actualizat.

### De ce semnalează o scanare de securitate a site-ului antetele software?

Numerele de versiune fac mai ușoară găsirea site-urilor cu software vulnerabil. Eliminați-le unde puteți. Ascunderea lor nu repară nimic, așa că țineți software-ul actualizat.

### Ce fac după o scanare de securitate a site-ului?

Începeți cu punctele roșii, apoi treceți prin cele portocalii împreună cu dezvoltatorul sau furnizorul de găzduire. Testați modificările antetelor înainte de publicare, pentru că regulile stricte pot strica plățile, formularele și conținutul încorporat. Descărcați PDF-ul ca să partajați rezultatele. Mecanik Dev vă poate ajuta să alegeți remedierile potrivite și să le aplice.

### Sunt publice rezultatele unei scanare de securitate a site-ului?

Nu. Scanările sunt private. Doar proprietarul unui site își poate publica raportul, după ce dovedește că controlează site-ul cu o înregistrare DNS sau cu un fișier. Puteți totuși să partajați un link privat sau PDF-ul. Nu aveți nevoie de cont sau de e-mail.

## Verificările incluse în raport

### Conexiune criptată

HTTPS criptează datele dintre site și vizitatori. Asta arată că scannerul s-a conectat în siguranță. Restul site-ului nu este testat.

### Redirecționarea HTTP simplu către HTTPS

Cei care scriu adresa fără https:// ar trebui să ajungă direct pe site-ul securizat. Apoi HSTS menține browserul pe HTTPS.

### Păstrați vizitatorii pe HTTPS

Setați Strict-Transport-Security cu un max-age de cel puțin șase luni. Verificați subdomeniile înainte să adăugați includeSubDomains sau preload.

### Controlați conținutul care poate rula

Content-Security-Policy controlează ce scripturi și conținut poate încărca pagina. Regulile potrivite depind de site, iar o politică lipsă nu este în sine o vulnerabilitate. Dacă pagina setează politica în HTML, verificarea din browser o citește. Politicile report-only nu blochează nimic.

### Protecție împotriva încorporării înșelătoare

Folosiți CSP frame-ancestors sau X-Frame-Options și permiteți doar site-urile care chiar trebuie să vă încorporeze.

### Opriți ghicirea tipurilor de fișiere

Setați X-Content-Type-Options la nosniff, ca browserele să trateze fiecare fișier ca tipul indicat de server.

### Limitați informațiile trimise altor site-uri

O Referrer-Policy explicită face comportamentul clar. Browserele moderne limitează deja acest lucru implicit, deci un antet lipsă nu înseamnă că datele scapă.

### Limitați funcțiile sensibile ale browserului

Permissions-Policy poate opri camera, microfonul și localizarea pentru site-ul dumneavoastră. Setările potrivite depind de ce face site-ul.

### Detalii X-Powered-By expuse

Eliminați detaliile de rulare unde puteți. Site-ul devine mai greu de recunoscut, dar actualizările rămân necesare.

### Versiunea serverului expusă

Cereți furnizorului de găzduire să ascundă numerele de versiune și să țină serverul actualizat. Un nume de server fără versiune este în regulă.

### Verificarea actualizărilor PHP

PHP2Shell este numele a două vulnerabilități critice din PHP în sine. Antetul raportează doar o versiune, care poate fi greșită sau poate omite remedierile aplicate de furnizor. Cereți-i să compare versiunea instalată cu avertismentele de securitate PHP actuale. Ascunderea antetului nu repară nimic.

### Cookie-uri doar prin HTTPS

Secure înseamnă că cookie-ul este trimis doar prin HTTPS. Vedem doar cookie-urile setate de răspunsul paginii principale. Cookie-urile setate după autentificare sau de scripturi nu sunt incluse, iar valorile cookie-urilor nu apar niciodată în raport.

### Protecția cookie-urilor de sesiune

HttpOnly oprește scripturile din pagină să citească cookie-ul. Recunoaștem cookie-urile de sesiune după nume, așa că cereți confirmarea dezvoltatorului.

### Reguli pentru cookie-uri între site-uri

SameSite controlează când sunt trimise cookie-urile împreună cu cererile de pe alte site-uri. None poate fi corect pentru unele integrări, iar browserele aplică o valoare implicită când lipsește.

### Acces între origini

CORS este adesea necesar pentru API-uri și fișiere partajate. Un caracter wildcard singur nu expune date private. Această verificare a paginii principale nu poate spune dacă un API are încredere în orice origine.

### Izolarea ferestrelor

COOP separă pagina de ferestrele deschise de alte site-uri. Ferestrele de plată și de autentificare pot avea nevoie de o setare mai permisivă. Lipsa lui nu face singură site-ul vulnerabil.

### Încorporarea resurselor

Cross-Origin-Resource-Policy stabilește ce site-uri vă pot încorpora fișierele. Imaginile publice și fișierele partajate pot trebui să rămână deschise. Majoritatea paginilor nu au nevoie de ea.

### Politica expeditorilor de e-mail (SPF)

SPF ajută serverele de e-mail să respingă e-mailurile false trimise în numele domeniului dumneavoastră. Dacă domeniul nu trimite niciodată e-mail, publicați v=spf1 -all. Verificăm domeniul principal.

### Politica împotriva falsificării e-mailului (DMARC)

DMARC le spune serverelor de e-mail ce să facă cu mesajele care nu trec de SPF și DKIM. Începeți în modul de monitorizare, citiți rapoartele, apoi treceți la quarantine sau reject.

### Reguli pentru autoritățile de certificare (CAA)

Înregistrările CAA enumeră autoritățile de certificare care pot emite certificate pentru domeniu. Reduc riscul unui certificat emis din greșeală. Includeți fiecare furnizor pe care îl folosiți.

### DNS semnat (DNSSEC)

DNSSEC le permite rezolverelor să recunoască răspunsurile DNS false. Activați-l împreună la furnizorul DNS și la registrar, pentru că o configurare greșită poate scoate domeniul din funcțiune.

### Contact de securitate (security.txt)

Publicați /.well-known/security.txt cu Contact și Expires, ca cei care găsesc o problemă să știe cum să vă contacteze.

### Resurse nesigure în pagină

Fișierele nesigure pot fi modificate pe drum, iar browserele le pot bloca și pot strica pagina. Treceți aceste adrese pe HTTPS. Am verificat doar pagina principală.

### Servicii terțe

Fiecare script sau serviciu extern poate vedea vizitatorii și poate modifica pagina. Păstrați lista scurtă, eliminați ce nu mai folosiți și verificați ce primește fiecare furnizor. Folosirea serviciilor externe nu este în sine o vulnerabilitate.

### Urmărire înainte de consimțământ

Legi precum GDPR cer de obicei acordul înainte de urmărirea care nu este esențială. Scannerul încarcă pagina o dată de pe serverele noastre și nu acceptă nimic. Instrumentele de consimțământ pot funcționa diferit în funcție de țară, așa că verificați și propria configurare.

### Biblioteci JavaScript învechite

Recunoaștem jQuery, jQuery UI, Bootstrap, AngularJS, Lodash și Moment.js când își arată versiunea. Actualizați biblioteca afectată sau tema ori pluginul care o include, apoi testați site-ul.

### Verificarea integrității scripturilor

Subresource Integrity le permite browserelor să refuze o copie modificată a unui fișier script. Funcționează pentru fișierele cu versiune de pe un CDN. Nu se potrivește scripturilor care se schimbă intenționat, cum ar fi managerele de etichete.

### Versiunea platformei site-ului

O etichetă generator cu numărul versiunii face site-ul o țintă mai ușoară pentru atacurile automate. Eliminați-o unde puteți și țineți actualizate platforma, temele și pluginurile. Ascunderea versiunii nu repară nimic.

## Notificare de confidențialitate

Pentru a opri abuzurile și a răspunde la reclamații sau cereri legale, Mecanik Dev Ltd păstrează o înregistrare a fiecărei scanări. Ea conține site-ul web, ora, versiunea notificării, adresa dumneavoastră IP, detaliile browserului și ale dispozitivului dumneavoastră și locația aproximativă stabilită după adresa IP. Păstrăm aceste înregistrări 30 de zile, apoi le ștergem. Nu le folosim în scopuri de marketing și le transmitem altora doar atunci când legea o cere.

Furnizorul nostru de găzduire și securitate prelucrează adresa IP ca să ruleze serviciul și verificarea anti-bot și își păstrează propriile jurnale. Acordul pentru scanare nu este acord pentru marketing. PDF-ul este creat de browserul dumneavoastră.

Pentru datele de contact ale operatorului, drepturile privind datele și informații despre furnizori, consultă politica principală de confidențialitate.

Dacă publicați un raport, păstrăm domeniul, ora scanării și rezultatele timp de cel mult 90 de zile. Directorul public arată cel mai recent raport pentru fiecare site. Scanările private nu sunt salvate niciodată acolo. Rapoartele publice anterioare rămân online până expiră sau sunt eliminate. Rapoartele publice nu includ niciodată adresele IP, datele browserului, autorizările sau valorile cookie-urilor vizitatorilor.

Preferința de temă este salvată în browser. Raportul curent rămâne în stocarea de sesiune a acestei file, pentru a schimba limba fără altă scanare. Ștergeți stocarea browserului pentru a elimina preferințele și rezultatele.