Комплексный аудит безопасности сайта
Проверка ограниченного набора параметров сайта, которым вы владеете или управляете: раскрытие секретов (.env/.git/дампы БД), TLS-сертификат, HTTP-заголовки безопасности, слабости CSP и ошибки CORS, флаги cookie, почтовая аутентификация (SPF/DKIM/DMARC) и CAA — плюс сопоставление раскрытых продуктов с нашим каталогом CISA KEV (активно эксплуатируемых). Один отчёт с оценкой, исправлениями и промптом для ИИ.
- Отправка
- Домен на сервер этого сайта
- Хранение
- Результаты не хранятся (проверочный cookie до 8 часов)
- Внешний API
- После проверки владения сервер запрашивает фиксированные пути сайта
- Цель
- Только сайты, подтверждённые размещённым кодом
Подробнее
- При подготовке кода устанавливается обязательный cookie (до 8 часов) для проверки этого браузера. Он не используется для рекламы и аналитики.
- При запуске аудита сервер проверяет размещённый код через DNS и HTTPS и только при успехе делает ограниченное число запросов к фиксированным путям и настройкам. Атакующий код не выполняется; внутренние цели и перенаправления на неподтверждённые хосты блокируются.
- Результаты не хранятся на сервере, а возвращаются на эту страницу. Введённый домен может остаться в URL или журналах доступа.
- Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности
Отображение результата и введённый домен
После проверки результат возвращается прямо на эту страницу без хранения в серверном хранилище результатов. Перезагрузка удаляет результат и не запускает новую проверку. Отзыв подтверждения также убирает результат с экрана.
Введённый домен может остаться в URL или журналах доступа. Не вводите пароли, данные подключения или персональные сведения.
Как пользоваться
- 1
Введите домен своего собственного сайта
Например, example.com. Используйте только сайт, которым вы владеете или управляете. Подготовка кода создаёт временный сеанс браузера, не обращаясь к целевому сайту.
- 2
Разместите код (одним из трёх способов)
Разместите код для этого браузера и домена через ①мета-тег в <head> главной страницы, ②DNS-запись TXT или ③файл в /.well-known/. Подробная проверка не начнётся до подтверждения размещения кода.
- 3
Нажмите «Проверить размещение кода и запустить аудит»
Проверяются раскрытие секретов (.env/.git/дампы БД), TLS-сертификат, заголовки, CSP/CORS, cookie, почтовая аутентификация и сопоставление с KEV (активно эксплуатируемые CVE), и показывается общая оценка от A до F.
- 4
Исправляйте от красного к жёлтому
У каждого пункта показано, чем он опасен и как его исправить. Включён готовый промпт для ИИ — вставьте его в ChatGPT / Claude, чтобы получить шаги под ваш стек.
- 5
При необходимости повторите проверку вручную
Регистрация для мониторинга приостановлена; формы регистрации нет. При необходимости запустите новый аудит вручную на этой странице.
Почему это важно
Частые вопросы
QЗачем нужен код проверки?
Проверять конфиденциальные файлы следует только на сайтах, которыми вы владеете или управляете. Перед подробной проверкой инструмент проверяет код для этого браузера в DNS, мета-теге главной страницы по HTTPS или файле по HTTPS. Это подтверждает размещение кода, а не вашу личность или юридическое право собственности.
QСильно ли аудит нагружает мой сайт?
Аудит выполняет ограниченные запросы к фиксированным путям и настройкам, включая проверку конфиденциальных файлов, а также ограниченные DNS-запросы. Часть запросов выполняется параллельно; разрешённые перенаправления могут добавлять запросы. Фаззинг путей и попытки эксплуатации уязвимостей не выполняются.
QЕсли оценка высокая, я полностью в безопасности?
Нет. Он проверяет представительные пункты с высоким сигналом, а не каждый возможный риск. Не переоценивайте зелёный результат; сочетайте его с минимизацией раскрытия/привилегий и постоянными проверками зависимостей (сканер OSV), заголовков и почтовой аутентификации.