dmosk / sitechecker

← К проверке

sitechecker — методология

Только пассивные GET/HEAD. Уровень 1 — публичная гигиена; уровень 2 — чувствительные пути после подтверждения владения. Это baseline, не пентест.

Счёт начинается со 100. За fail: critical −30, high −12, medium −5, low −2, info 0. Warn — половина. Любая критическая находка ограничивает оценку уровнем D. Границы: A ≥90, B 80–89, C 65–79, D 50–64, F ниже 50.

ID Проверка Группа Критичность Уровень
H1 Нет HSTS или срок слишком короткий Заголовки высокий L1
H2 Нет Content-Security-Policy или политика слишком мягкая Заголовки высокий L1
H3 Нет защиты от clickjacking Заголовки средний L1
H4 Не запрещён MIME-sniffing Заголовки средний L1
H5 Не задан Referrer-Policy Заголовки низкий L1
H6 Не задан Permissions-Policy Заголовки низкий L1
H7 Светится версия серверного ПО Заголовки низкий L1
H8 Опасная комбинация CORS Заголовки высокий L1
T1 HTTP не перенаправляет на HTTPS TLS высокий L1
T2 HTTPS недоступен или сломан TLS критично L1
T3 Устаревшая версия TLS TLS высокий L1
T4 Слабые шифры TLS TLS высокий L1
T5 Смешанный контент на странице TLS средний L1
T6 HTTP/2 не предлагается TLS инфо L1
C1 Cookie без флага Secure Cookie высокий L1
C2 Cookie без HttpOnly Cookie высокий L1
C3 Cookie без SameSite Cookie средний L1
C4 Не используются префиксы имён cookie Cookie инфо L1
F1 Репозиторий .git открыт снаружи Файлы критично L2
F2 Доступны бэкапы окружения или конфигов Файлы критично L2
F3 Публично лежат архивы или SQL-дампы Файлы критично L2
F4 Открыты диагностические страницы Файлы высокий L2
F5 Включён листинг каталогов Файлы средний L2
F6 Похоже, открыты панели управления БД Файлы средний L2
F7 Нет файла security.txt Файлы инфо L1
S1 Публичный отпечаток технологий ПО инфо L1
S2 Возможно устаревшее ПО ПО высокий L1
S3 Похоже, открыты чувствительные пути ПО средний L1
S4 Нет Subresource Integrity ПО низкий L1
D1 SPF отсутствует или небезопасен DNS и почта средний L1
D2 Селекторы DKIM не найдены DNS и почта инфо L1
D3 DMARC отсутствует или слишком мягкий DNS и почта средний L1
D4 Статус DNSSEC DNS и почта инфо L1
D5 Записи CAA DNS и почта инфо L1
D6 Внутренние или рискованные цели в DNS DNS и почта высокий L1