Проверка безопасности сайта (пассивный разбор заголовков, TLS, DNS и открытых портов)

Что охватывает проверка безопасности сайта

Проверки сгруппированы по тому, на что они смотрят. Каждая — раздел полного аудита и отдельная ручка API:

• Заголовки. http-security читает Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и Permissions-Policy.
• Транспорт и сертификат. ssl, tls-connection, tls-labs и hsts.
• DNS и почта. dns, dns-server, dnssec, txt-records и mail-config.
• Внешняя поверхность. ports — открытые порты, firewall — признаки WAF, а также subdomains, trace-route, whois и security-txt.
• Содержимое страницы и репутация. mixed-content находит http-ресурсы на https-странице, cookies перечисляет куки, privacy находит трекеры, threats и block-lists смотрят чёрные списки, tech-stack определяет используемые технологии, а shodan дополняет картину снаружи.

Как строится отчёт по шагам

1. Вы вводите адрес страницы или вызываете API с параметром url.
2. Web Check запрашивает публичные ответы сервера и связанные записи: заголовки, сертификат, DNS, почтовые настройки, открытые порты.
3. Результат каждой секции попадает в JSON и в отдельную карточку отчёта.
4. Сводка собирает всё в оценку и список замечаний, у каждого из которых есть уровень важности.

Проверка безопасности сайта выдаёт много данных, поэтому начинать удобно с замечаний высшей важности и двигаться вниз по списку; карточка секции показывает сырой результат, стоящий за каждым замечанием.

Заголовки безопасности и вес каждого из них

В сводном аудите шесть заголовков, которые читает http-security, имеют разную важность:

• Strict-Transport-Security (HSTS) — high;
• Content-Security-Policy (CSP) — high;
• X-Frame-Options — medium;
• X-Content-Type-Options — medium;
• Referrer-Policy — low;
• Permissions-Policy — low.

Отдельная проверка hsts стоит в группе транспорта, так что политику HSTS видно с двух сторон.

Что вы получаете в отчёте

• Оценку и список замечаний по важности, от высокой к низкой.
• Отдельную карточку на каждую секцию и те же данные в виде JSON.
• Картину внешней поверхности сайта: открытые порты, поддомены, маршрут до сервера, данные whois и файл security.txt.
• Трекеры, куки и попадания в чёрные списки в одном месте.

Повторная проверка безопасности сайта после правок показывает, какие замечания исчезли.

Где это нужно и как запустить

• После выкладки. Посмотрите заголовки и группу транспорта, чтобы убедиться: новая настройка именно та, что задумана.
• После перехода на https. mixed-content покажет http-ресурсы, которые всё ещё грузятся на https-странице.
• При разборе почты и DNS. mail-config, txt-records и dnssec собраны в одном отчёте.

Для одной группы используйте имя проверки, а для всего набора — полный аудит:

GET https://webcheck.asibots.pro/api/http-security?url=PAGE_URL
GET https://webcheck.asibots.pro/api/audit-full?url=PAGE_URL

Честные границы пассивной проверки

• Проверка безопасности сайта пассивная: она читает публичные ответы сервера и не пытается взломать сайт. Тест чат-бота — отдельная функция, она описана на странице про безопасность чат-бота.
• Сервис отклоняет адреса внутренней сети (localhost, частные диапазоны, облачные метаданные) ответом 400, поэтому через него нельзя заглянуть в чужую внутреннюю сеть.
• Сканирование портов и trace-route ограничены 6 запросами в минуту.
• Тяжёлые проверки с браузером (screenshot, cookies, tech-stack, audit-full) идут не более 4 одновременно на всех посетителей и 12 в минуту на одного. При превышении приходит ответ 429 с понятным текстом.
• Полный аудит занимает около 40 секунд, а ответ через Cloudflare ограничен 100 секундами.

Частые вопросы

Пытается ли проверка безопасности сайта взломать мой сайт?

Нет. Она пассивная и читает только то, что сервер отвечает на публичный запрос. Ни вторжения, ни эксплуатации уязвимостей в ней нет.

У каких проверок самые жёсткие лимиты?

Сканирование портов и trace-route — 6 запросов в минуту. Тяжёлые проверки с браузером, такие как screenshot , cookies , tech-stack и audit-full , — 12 в минуту на одного посетителя и не больше 4 одновременно по всему сервису.

Подходит ли проверка безопасности сайта для запуска из кода?

Да. Любая проверка доступна как GET /api/<проверка>?url=… и отдаёт JSON. audit-full возвращает оценку, замечания по важности и данные всех секций.

Читайте также

• Безопасность чат-бота
• Проверка скорости сайта
• API аудита сайта