dmosk / sitechecker

← К проверке

sitechecker — пример отчёта

Статичный демо-отчёт уровня 1 для example.com. На этой странице живой скан не запускается.

Отчёт

example.com · 18420 ms · уровень 1

Оценка

C

Баллы

71

Средне — заметные пробелы, лучше закрыть в ближайшее время.

Три главных исправления

  1. Нет HSTS или срок слишком короткий — высокий (H1)
  2. Cookie без флага Secure — высокий (C1)
  3. Не запрещён MIME-sniffing — средний (H4)
Нет HSTS или срок слишком короткий H1 проблема

Почему это важно: Без нормального заголовка Strict-Transport-Security браузер может снова ходить по обычному HTTP и попасть под перехват трафика.

Как исправить

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
Не запрещён MIME-sniffing H4 проблема

Почему это важно: Без X-Content-Type-Options: nosniff браузер может сам «угадать» тип файла и выполнить его не так, как задумал сервер.

Как исправить

add_header X-Content-Type-Options "nosniff" always;
HTTP не перенаправляет на HTTPS T1 ok

Почему это важно: Кто открыл http://, может остаться на незашифрованном соединении.

Как исправить

Publish /.well-known/security.txt with Contact and Expires (RFC 9116).
Cookie без флага Secure C1 проблема

Почему это важно: Сессионные cookie без Secure могут уйти по обычному HTTP и быть украдены.

Как исправить

Mark session cookies Secure in the application cookie API.
DMARC отсутствует или слишком мягкий D3 предупреждение

Почему это важно: Без политики DMARC получатели не знают, отклонять ли поддельные письма с вашего домена.

Как исправить

Add _dmarc TXT with v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com
Нет файла security.txt F7 инфо

Почему это важно: Исследователям некуда официально сообщить о находке (RFC 9116).

Как исправить

Publish /.well-known/security.txt with Contact and Expires (RFC 9116).

Только пассивные проверки (уровень 1 и опциональный уровень 2 для владельца) — отчёт не означает, что сайт безопасен.