Перейти к содержимому
ITDПлатформа веб-безопасности
ITD
Поиск

Проверка прозрачности сайта

Инструмент утверждает, что ваш ввод «остаётся в браузере» — так ли это? Укажите URL, чтобы с помощью статического анализа выявить, куда страница могла бы отправлять данные: внешние источники, трекеры и формы. Это подсказки, а не вердикт.

Сервер этого сайта запрашивает целевой URL (до 4 запросов с перенаправлениями в пределах того же хоста) и анализирует его статически (отправляется только введённый вами URL — не ваш код и не ваш ввод). Доступ к внутренним / приватным адресам заблокирован.
Используйте только для сайтов, которыми вы владеете или управляете. Не используйте для проверки чужих сайтов без разрешения.

Открыть инструмент

Отправка
URL на сервер этого сайта
Хранение
Полученная страница и результаты не хранятся (URL может остаться в журналах)
Внешний API
Сервер запрашивает целевой URL (до 4 запросов)
Цель
Только ваши сайты (владение не проверяется); внутренние адреса блокируются
Подробнее
  • Введённый URL отправляется на сервер этого сайта, который получает страницу и анализирует её статически: до 4 запросов с учётом перенаправлений, только тот же хост (с www или без), 8 секунд и 2 МБ на ответ. Встроенные ресурсы не загружаются и не выполняются.
  • Полученная страница и результаты не хранятся. URL может остаться в истории браузера и журналах доступа, поэтому не вводите URL с секретами.
  • Используйте для сайтов, которыми вы владеете или управляете. Владение не проверяется. Подключения к внутренним и частным адресам блокируются.
  • Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности
Попробовать пример (проанализировать сам этот сайт)

Как проверить наверняка (DevTools)

  1. 1Откройте страницу, затем откройте DevTools клавишей F12 (или правый клик → Инспектировать).
  2. 2Откройте вкладку «Network» и убедитесь, что идёт запись.
  3. 3Реально воспользуйтесь инструментом и следите, уходят ли новые запросы (Fetch/XHR/WS) на внешние домены.
  4. 4Если внешних отправок нет, страница работает в браузере для этого действия.

SSRF

Как пользоваться

  1. 1

    Вставьте URL инструмента, который заявляет, что работает только в браузере.

  2. 2

    Он статически анализирует внешние адресаты, трекеры, внешние формы и код отправки на этой странице.

  3. 3

    Результаты — это подсказки. Окончательную проверку сделайте во вкладке Network в DevTools (ниже).

Почему это важно

Действительно ли «приватный» инструмент приватен, нельзя полностью доказать снаружи (браузерный CORS скрывает поведение других сайтов во время выполнения, а статический анализ не может показать отсутствие отправки). Поэтому этот инструмент не выносит вердикт — он выявляет, куда могли бы течь данные, и даёт вам настоящий способ проверки (DevTools). Этот сайт не исключение: проанализируйте его — и увидите теги рекламы/аналитики; не скрывать это — честный подход.

Частые вопросы

QОзначает ли «ноль внешних адресатов», что это безопасно?
A

Нет. Статический анализ пропускает обфусцированные, динамические или отправки по клику. Ноль означает «статически не найдено», а не доказательство. Надёжная проверка — вкладка Network в DevTools.

QПочему это нельзя сделать только в браузере (без сервера)?
A

Браузерный CORS не даёт странице наблюдать запросы другого источника во время выполнения, поэтому целевой URL загружается и анализируется на стороне сервера (отправляется только URL).

QМожно ли проверять чужой сайт?
A

Инструмент загружает целевую страницу (до 4 запросов с перенаправлениями в пределах того же хоста) и анализирует её статически — без активного сканирования или атак (тот же объём, что и при обычном открытии в браузере). Внутренние/приватные адреса заблокированы.

Похожие страницы