Що перевіряє ZNIMOK і чого не перевіряє

Як проходить одна перевірка

Ви вводите домен. Далі перевірка щоразу проходить ті самі кроки, а сторінка звіту показує кожен крок наживо, щойно надходять докази. Зазвичай перевірка триває кілька хвилин; сайти з багатьма піддоменами перевіряються довше.

• Пошук хостів: піддомени й повʼязані імена з DNS, поштових записів (MX) і публічних логів сертифікатів.
• Лише живі хости: імена без адреси в DNS пропускаємо; хости, які відповідають, ідуть далі.
• Визначення технологій: сервер, мова, CMS і CDN за публічними заголовками й HTML, щоб запускати лише перевірки під цей стек.
• Перевірки за напрямами нижче: запити лише на читання, запити DNS і TLS-рукостискання.
• Звірка версій: знайдені версії ПЗ порівнюємо з публічними даними про вразливості й кінець підтримки.
• Звіт: знахідки, оцінка й покриття, складені за фіксованими правилами з доказів. Жодна ШІ-модель звіт не пише і не перевіряє.

Перевірка одного з наших сайтів 27.10.2026 склала 408 кроків на 8 хостах. Число залежить від того, скільки в сайту хостів і технологій.

Домен і піддомени

Зловмисники починають зі списку імен домену, тож перевірка робить те саме і показує вам, що знайшла.

• Піддомени: запити DNS для короткого списку поширених імен (як-от www, api, mail, admin), записи MX, логи Certificate Transparency через crt.sh і robots.txt.
• «Висячі» записи CNAME: імʼя, що досі вказує на сервіс, яким ви вже не користуєтеся, іноді може захопити хтось інший.
• Записи CAA (які центри сертифікації можуть видавати сертифікати для домену), стан серверів імен і DNSSEC.
• Дата реєстрації й закінчення домену з RDAP, публічного сервісу реєстрів.

Перевірки DNS лише читають публічні записи. Передачі зони (zone transfer) немає.

TLS і HTTPS

• Чи переадресовує звичайний HTTP на HTTPS.
• Чинність сертифіката: прострочений, скоро спливає або ще не чинний.
• Чи покриває сертифікат імʼя хоста, для якого його віддають.
• Слабкі алгоритми підпису й слабкі ключі.
• Чи сервер досі приймає TLS 1.0 або TLS 1.1, які RFC 8996 визнав застарілими у 2021 році.
• Зміна видавця сертифіката або переліку імен порівняно з попередніми перевірками того самого сайту.

Це не повний аудит конфігурації TLS: перевірка не перебирає всі набори шифрів.

Безпека пошти

Ці записи DNS визначають, чи може хтось надсилати листи, схожі на листи з вашого домену, і як інші поштові сервери захищають листи на шляху до вас. Докладніше на сторінці перевірки пошти домену.

• SPF: чи запис рівно один, чи не надто він дозвільний і чи вкладається в ліміт запитів DNS.
• DMARC: чи є політика, яка саме (none, quarantine або reject) і чи запитано звіти.
• DKIM: ключі на фіксованому списку поширених назв селекторів. Ключ під іншою назвою селектора ззовні не видно.
• MTA-STS і TLS-RPT: чи має пошта до вашого домену йти через TLS і чи приходять вам звіти про збої.
• Записи MX, а також SPF для домену без MX.

Для сайту без підтвердженого права власності перевірка не підключається до вашого поштового сервера. На сайті з підтвердженим правом власності активна перевірка портів може прочитати версію його ПЗ, і бачить її лише підтверджений власник.

Захист у браузері

Заголовки відповіді кажуть браузеру, як захищати ваших відвідувачів. Докладніше на сторінці перевірки заголовків безпеки.

• HSTS (Strict-Transport-Security) і його max-age.
• Захист від clickjacking: X-Frame-Options або директива CSP frame-ancestors.
• X-Content-Type-Options: nosniff.
• Content-Security-Policy: чи є вона, і ризиковані джерела скриптів, як-от unsafe-inline чи шаблони з зірочкою.
• Прапорці сесійних файлів cookie: Secure, HttpOnly і SameSite.
• CORS: надсилаємо запит із чужим Origin і дивимося, чи відповідь дозволяє будь-якому сайту її прочитати.
• Змішаний вміст (mixed content), Subresource Integrity для сторонніх скриптів і заголовки, що розкривають версії сервера.
• Чи однакові ці заголовки на всіх адресах сайту, наприклад із www і без.
• security.txt (RFC 9116): файл із контактом для тих, хто повідомляє про проблеми безпеки.

Відкриті файли й панелі

Запитуємо фіксований список відомих шляхів звичайними запитами GET і читаємо відповіді. Спершу дізнаємося, як виглядає власна сторінка «не знайдено» сайту, щоб сайт, який однаково відповідає на будь-яку адресу, не давав хибних знахідок.

• Секрети й конфігурація: .env, .git, копії конфігураційних файлів, phpinfo.
• Резервні копії й дампи баз даних, що лишилися після деплою.
• Сторінки входу й адмінки, як-от /admin, /wp-admin чи вебпошта, а також адмін-подібні імена хостів.
• Інструменти баз даних, як-от phpMyAdmin, Adminer і pgAdmin, та панелі хостингу чи DevOps, як-от cPanel, Plesk і Grafana.
• Інструменти налагодження в продакшені, як-от Laravel Telescope, Ignition чи Spring Boot Actuator, і публічні журнали.
• Документація API (Swagger, OpenAPI, GraphQL) і публічні source maps.
• Лістинги каталогів і публічні хмарні сховища (бакети).

Перевірка не входить в акаунти й не пробує паролі на знайдених сторінках.

ПЗ і відомі вразливості

Визначаємо серверне ПЗ, мови, CMS, фреймворки й JavaScript-бібліотеки за заголовками, HTML і шляхами до файлів. Якщо версію видно, звіряємо її з публічними даними. Докладніше на сторінці перевірки застарілого ПЗ.

• Кінець підтримки: чи гілка випусків ще отримує виправлення безпеки (дані endoflife.date).
• Відомі вразливості цього продукту й версії з NVD, OSV і каталогу CISA Known Exploited Vulnerabilities.
• Оцінки FIRST EPSS, що показують, наскільки ймовірно, що відому вразливість використають.
• Чи є новіший безпековий випуск тієї самої гілки, наприклад для PHP.
• Перевірки для WordPress, Drupal, Joomla, Magento, PrestaShop і Ghost та залишки налаштувань Laravel, Symfony і Node.js чи Next.js. Див. перевірку безпеки WordPress.

Збіг версії означає, що сайт може бути вразливим і це треба перевірити. Це не підтверджена вразливість: банер може бути неточним, а дистрибутиви Linux часто виправляють ваду, не змінюючи номер версії. Прихована версія теж не доводить, що все гаразд.

Мережеві порти

Для сайту без підтвердженого права власності перевірка не сканує порти. Вона показує порти, які публічна інтернет-база (Shodan InternetDB) зазначає для адрес сайту.

Для сайту з підтвердженим правом власності ZNIMOK також активно перевіряє відібраний список службових портів TCP і UDP: бази даних, віддалений доступ, кеші, брокери повідомлень і адмін-сервіси. Результати бачить лише підтверджений власник.

Також у звіті

• Швидкість сторінки на телефоні й компʼютері з Google PageSpeed Insights.
• Юридичні документи: чи знаходяться політика конфіденційності, повідомлення про cookie, інструмент згоди, а для сайтів .de і .at ще й Impressum. Перевіряємо лише наявність, не зміст. Це не юридична порада.
• Доступ ШІ-краулерів: чи дозволяє robots.txt краулерам, як-от GPTBot чи ClaudeBot, читати сайт, і чи є файл llms.txt.
• Відкриті дані про домен: реєстрація, сертифікати, мережа хостингу і перша архівна копія у Wayback Machine.

Безкоштовна перевірка і підтверджений власник

Безкоштовну перевірку будь-хто може запустити для будь-якого публічного сайту. Перевірки з активними пробами запускаються лише на сайтах, власник яких довів, що керує доменом, а їхні результати бачить лише підтверджений власник.

Щоб підтвердити право власності, додайте TXT-запис DNS znimok-site-verification=…, завантажте файл /.well-known/znimok-ownership.txt або додайте meta-тег znimok-site-verification на головну сторінку. Токен буде у вашому кабінеті.

Чого перевірка не робить

• Не шукає шкідливий код і не перевіряє чорні списки.
• Не входить в акаунти, не підбирає паролі й не надсилає атакувальних даних, як-от SQL-інʼєкцій чи XSS.
• Це не тест на проникнення. Перевірка не бачить, що всередині вашого сервера, коду чи внутрішньої мережі.
• Перевірка не може довести, що сайт безпечний. Відсутність знахідок у напрямі означає, що ми нічого не побачили в перевіреному, а не що там нічого немає.
• Якщо файрвол, ліміт запитів або сторінка-перевірка зупиняє частину перевірки, звіт позначає цю частину як неперевірену, а не як успішну.

Як оцінюємо результати

Кожна знахідка має рівень: Високий, Середній або Низький, і пояснює, що ми побачили, чому це важливо і що зробити.

Звіт також дає оцінку від 0 до 100: що більше, то безпечніше. Оцінка підсумовує все, що перевірили. Поки відкрита знахідка рівня Високий, рівень ризику не буде кращим за «Підвищений», незалежно від оцінки.

Покриття показує, скільки перевірок завершено і яку частину сайту вдалося оцінити повністю. Менше покриття означає більше «сліпих зон», а не більший ризик.

Джерела даних