Приклад звіту безпеки сайту: справжня перевірка

Про цю перевірку

Параметр	Як у звіті
Сайт	corsairslegacy.com, наш власний сайт
Перевірено	27.10.2026, 14:35-14:36 за Києвом (12:35-12:36 UTC), 1 хв 17 с
Доступ	Безкоштовна перевірка: те, що бачить будь-хто без підтвердженого права власності. Результати перевірок лише для власника (активне сканування портів, поглиблений аудит API) бачить тільки підтверджений власник, тому на цій сторінці їх немає. Мережеві порти тут показано лише з пасивних даних.
Хости	Знайдено 4, перевірено всі 4
Перевірки	Завершено 233 з 233
Докази	544 докази; визначено 12 технологій
Підсумок	Складено за фіксованими правилами з доказів. ШІ-модель не використовувалася.

Ця сторінка - знімок того дня. Результати змінюються з часом: змінюється сайт, змінюються й наші перевірки, тож нова перевірка того самого сайту може дати інші результати.

Оцінка і покриття

Оцінка безпеки: 80 із 100, що більше, то безпечніше. Рівень ризику: «Критичний ризик». Сама по собі оцінка 80 означала б «Невеликий ризик». Звіт показує «Критичний ризик», бо 1 знахідка має найвищий рівень, і радить почати саме з неї.

Покриття: завершено всі 233 перевірки. З перевірок, що стосувалися цього сайту, 87% оцінено повністю і 100% хоча б частково. Менше покриття означає більше «сліпих зон», а не більший ризик.

Знахідки: 23 унікальні проблеми, з них 1 рівня Високий, 7 рівня Середній і 15 рівня Низький. У списку звіту 22 рядки (1 Високий, 7 Середній, 14 Низький): лічильник і список складаються трохи по-різному, а кількість рядків у списку обмежена. Усі 22 рядки наведено нижче за напрямами.

Рівні: на цій сторінці ми називаємо їх Високий, Середній і Низький. У звіті ці самі три рівні позначено як «Критично», «Увага» та «Інфо». У колонці «Де» вказано, на скількох хостах є знахідка; імен хостів, крім основного домену, ми не наводимо.

Застаріле ПЗ: 2 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
Версія компонента збігається з відомою вразливістю, яку вже використовують в атаках	Високий	Основний домен	Подробиці в цьому прикладі не показано. Збіг версії, видимий ззовні, ще не доказ: звіт позначає його як «можливо вразливий» і радить зайнятися ним першим.
Версія компонента збігається з опублікованим бюлетенем безпеки	Середній	Основний домен	Подробиці в цьому прикладі не показано. Це теж збіг версії, а не доказ.

Як загалом працює звіряння версій: перевірка застарілого ПЗ.

TLS і HTTPS: 3 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
TLS 1.0 досі приймається	Середній	4 хости	Досі працює стара версія протоколу, яку, за RFC 8996, більше не можна використовувати. Вимкніть TLS 1.0 і 1.1 та залиште TLS 1.2 і 1.3. Сучасні браузери старими версіями вже не користуються.
TLS 1.1 досі приймається	Середній	4 хости	Те саме для TLS 1.1. Одна зміна мінімальної версії TLS закриває обидві знахідки.
Немає заголовка HSTS	Середній	4 хости	Браузерам не сказано заходити на ці хости лише через HTTPS, тож візит, що починається з http://, у ненадійній мережі можна перехопити. Додайте заголовок `Strict-Transport-Security` (приклад картки нижче).

Файли cookie і захист у браузері: 4 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
Сесійний файл cookie без Secure/HttpOnly/SameSite	Середній	2 хости	Файл cookie, схожий на сесійний, встановлюється без захисних прапорців. Вони не дають надсилати cookie незашифрованим зʼєднанням, читати його скриптам сторінки і додавати до більшості запитів з інших сайтів. Увімкніть їх у налаштуваннях застосунку або вебсервера.
Немає Content-Security-Policy	Низький	4 хости	Сама відсутність не є вразливістю, але політика CSP обмежує шкоду від впроваджених скриптів. Почніть із політики Report-Only, зберіть звіти, потім увімкніть її.
Немає X-Content-Type-Options	Низький	4 хости	Браузери можуть вгадувати тип файлу. Додайте `X-Content-Type-Options: nosniff` до кожної відповіді (приклад картки нижче).
Немає захисту від clickjacking	Низький	4 хости	Інші сайти можуть показати ці сторінки у фреймі. Додайте директиву CSP `frame-ancestors` або `X-Frame-Options`.

Перевірки відкритості: 3 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
Публічно доступний внутрішній файл	Середній	2 хости	Подробиці в цьому прикладі не показано.
Прогалина в захисті від автоматизованих зловживань	Середній	2 хости	Подробиці в цьому прикладі не показано.
Публічні адреси email, доступні для збору спамерами	Низький	2 хости	Адреси email відкритим текстом стоять на публічних сторінках, звідки їх збирають у списки для спаму й фішингу. Використовуйте рольову адресу або контактну форму; адреси, яких вимагає закон, залиште й захистіть спам-фільтром.

Повний звіт називає файл, сторінку й виправлення для кожної знахідки; цей приклад їх не показує.

Захист пошти: 5 знахідок

Знахідка	Рівень	Де	Що це означає і що зробити
DMARC лише з p=none	Низький	Домен	DMARC налаштовано, але лише для спостереження: сервери-одержувачі не отримують прохання щось робити з листами, що не пройшли перевірку. Кілька тижнів читайте звіти, потім перейдіть на `p=quarantine` (приклад картки нижче).
Послаблене вирівнювання DMARC	Низький	Домен	Запис використовує послаблене вирівнювання (типове значення), тож перевірку проходять і листи з піддоменів. Це поширене налаштування: переходьте на суворе, лише коли звіти покажуть, що кожен сервіс, який надсилає вашу пошту, підписує листи саме вашим доменом.
DKIM на поширених селекторах не знайдено	Низький	Домен	Ключ DKIM не знайдено під поширеними назвами селекторів. Якщо поштовий сервіс підписує листи з іншим селектором, нічого міняти не треба; інакше увімкніть підпис DKIM.
Немає DNS-запису MTA-STS	Низький	Домен	Інші поштові сервери не отримують вимоги використовувати TLS із дійсним сертифікатом, коли доставляють листи на цей домен. Додаткове посилення захисту; почніть із режиму testing (RFC 8461).
Немає DNS-запису TLS-RPT	Низький	Домен	Власник не отримує звітів, коли інші поштові сервери не можуть встановити TLS-зʼєднання з поштовим сервером домену. Додайте запис TLS-RPT зі скринькою, яку хтось читає.

Домен і DNS: 2 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
DNSSEC не виявлено	Низький	2 хости	Відповіді DNS для домену не підписані. Це посилення захисту, якщо його підтримують реєстратор і DNS-провайдер, а не ознака зламу.
Немає записів CAA у DNS	Низький	2 хости	Будь-який центр сертифікації може видати сертифікат для домену. Додайте запис CAA з центрами, якими ви користуєтеся.

Довідкові записи без дій: 3 знахідки

Знахідка	Рівень	Де	Що це означає і що зробити
Клієнтські бібліотеки на сторінці	Низький	2 хости	Перелік бібліотек інтерфейсу, які звіт розпізнав на сторінці. Нічого робити не треба.
Виявлено платіжні шлюзи	Низький	2 хости	Перелік платіжних сервісів, які видно на сайті. Нічого робити не треба; приберіть скрипти сервісів, якими вже не користуєтеся.
Платіжні скрипти підключено коректно	Низький	2 хости	Добрий результат: платіжні скрипти завантажуються з офіційних адрес через HTTPS, а в коді сторінки немає секретних ключів. Стежте, щоб так лишалося після оновлень.

Назв бібліотек і платіжних сервісів ми тут не наводимо.

Приклад картки: немає заголовка HSTS (Середній)

Що побачили: HTTPS-відповіді всіх 4 хостів не мають заголовка Strict-Transport-Security.
Чому це важливо: HSTS каже браузеру впродовж заданого часу заходити на сайт лише через HTTPS. Без нього візит, що починається з посилання http:// або введеної вручну адреси, можна перехопити в ненадійній мережі ще до переспрямування на HTTPS.
Що зробити: додайте Strict-Transport-Security: max-age=31536000 до HTTPS-відповідей на кожному хості, це один рядок у налаштуваннях вебсервера або CDN. includeSubDomains і preload додавайте, лише коли всі піддомени працюють через HTTPS. Адміністратор сервера, близько 10 хвилин.
Як перевірити: curl -sI https://<ваш-домен> | grep -i strict-transport-security має показати заголовок.
Достовірність: підтверджене спостереження заголовків відповіді.

Джерело: RFC 6797: HTTP Strict Transport Security (HSTS).

Приклад картки: немає X-Content-Type-Options (Низький)

Що побачили: відповіді всіх 4 хостів не мають заголовка X-Content-Type-Options: nosniff.
Чому це важливо: без нього браузер може вгадувати тип файлу замість того, щоб довіряти типу, який указав сервер. Заголовок вимикає це вгадування, тож файл не сприймається як щось інше.
Що зробити: додайте X-Content-Type-Options: nosniff до кожної відповіді, це один рядок у налаштуваннях вебсервера, і стежте, щоб файли віддавалися з правильним Content-Type. Адміністратор сервера, близько 5 хвилин.
Як перевірити: curl -sI https://<ваш-домен> | grep -i x-content-type-options має показати nosniff.
Достовірність: підтверджене спостереження заголовків відповіді.

Джерело: OWASP: HTTP Headers Cheat Sheet.

Приклад картки: DMARC лише з p=none (Низький)

Що побачили: домен публікує запис DMARC, але з політикою p=none, тобто лише для спостереження.
Чому це важливо: з p=none власник домену просить сервери-одержувачі не вживати жодних окремих заходів щодо листів, які не пройшли DMARC, тож політика не зупиняє листи, підроблені від імені домену. Як перший крок це добре, бо звіти показують, хто надсилає пошту від імені домену.
Що зробити: переконайтеся, що в записі є адреса для звітів (rua=mailto: і скринька, яку ви читаєте). Через два-чотири тижні звітів, коли всі легітимні відправники проходять перевірку, перейдіть на p=quarantine. Адміністратор DNS, близько 15 хвилин.
Як перевірити: dig +short TXT _dmarc.<ваш-домен> показує поточну політику.
Достовірність: підтверджене спостереження в публічному DNS.

Джерело: RFC 7489: DMARC, згодом замінений RFC 9989, 9990 і 9991.

Чого немає на цій сторінці

Імен хостів, крім основного домену, шляхів і доказів до кожної знахідки.
Жодних подробиць чотирьох знахідок із позначкою «Подробиці в цьому прикладі не показано».
Технологій, IP-адрес, даних про хостинг і пошту з відкритих даних про домен.
Швидкості сторінки, юридичних документів і доступу ШІ-краулерів, які теж є в повному звіті.

Запитання

Чому це копія, а не живий звіт?

Живий звіт показує імена хостів, шляхи й докази, які могли б допомогти зловмиснику. Ця сторінка - датована копія без таких деталей, тож вона не змінюється разом із сайтом.

Чому рівень ризику критичний, якщо оцінка 80?

Оцінка підсумовує всі перевірки. Рівень ризику враховує ще й найсерйозніші відкриті знахідки: у цьому звіті одна знахідка найвищого рівня робить його «Критичним ризиком», і звіт радить почати саме з неї.

Чому деякі знахідки без подробиць?

Це справжній робочий сайт. Деякі знахідки вказують на те, чим міг би скористатися зловмисник, тому в цьому прикладі вони є в лічильниках і рівнях, але без того, що це і де. Звіт про ваш власний сайт показує подробиці кожної знахідки зі списку.

Мій звіт виглядатиме так само?

Структура та сама. Ваші знахідки, оцінка й покриття залежать від вашого сайту. Якщо ви підтвердите право власності на сайт, то побачите й результати перевірок лише для власника.

Джерела

RFC 8996: Deprecating TLS 1.0 and TLS 1.1 rfc-editor.org
RFC 6797: HTTP Strict Transport Security (HSTS) rfc-editor.org
OWASP: HTTP Headers Cheat Sheet cheatsheetseries.owasp.org
OWASP: Session Management Cheat Sheet cheatsheetseries.owasp.org
RFC 7489: DMARC rfc-editor.org
RFC 8461: SMTP MTA Strict Transport Security (MTA-STS) rfc-editor.org

Приклад звіту: справжня перевірка нашого сайту