Co i jak sprawdza Audytor
69 sprawdzeń w 8 obszarach. Każde ma wagę w punktach, a każdy wynik da się powtórzyć publicznymi narzędziami: skaner czyta tylko to, co widzi każdy w internecie.
Jak powstaje ocena
- Każde sprawdzenie ma maksymalną liczbę punktów (kolumna "waga" niżej). Zaliczone daje komplet, częściowo zaliczone część, błąd zero.
- Wynik obszaru to zdobyte punkty podzielone przez możliwe, w skali 0-100.
- Wynik ogólny to średnia ważona obszarów: poczta i podszywanie 24 %, powierzchnia ataku 22 %, ochrona marki 14 %, strona WWW 18 %, domena i DNS 14 %, prywatność i RODO 8 %. Widoczność i dostępność pokazujemy, ale nie wchodzą do oceny bezpieczeństwa.
- Litera: A od 90, B od 80, C od 65, D od 50, E poniżej 50 punktów. Sprawa krytyczna (np. brak DMARC, subdomena do przejęcia, sekret w kodzie strony) obniża literę najwyżej do D.
- Sprawdzenie, którego nie dało się wykonać (serwer nie odpowiedział, dane niedostępne), ma status "nie sprawdzono" i nie wchodzi do wyniku. Nie zgadujemy.
Skąd bierzemy dane
- DNS domeny przez publiczne resolvery z walidacją DNSSEC (1.1.1.1 i 9.9.9.9).
- Strona główna po HTTP i HTTPS, robots.txt, sitemap.xml, security.txt, polityka MTA-STS: do 25 żądań.
- Jedno połączenie STARTTLS z serwerem pocztowym z rekordu MX, bez wysyłania wiadomości.
- Publiczne logi certyfikatów (Certificate Transparency) i rejestr domen (RDAP).
Ograniczenia
- Skan widzi domenę z zewnątrz. Nie widzi haseł, kopii zapasowych, aktualizacji serwera, uprawnień ani tego, co dzieje się w sieci firmy.
- DKIM da się potwierdzić tylko pod znanym selektorem. Jeśli serwer używa własnej nazwy selektora, piszemy "nie sprawdzono", a nie "brak".
- O domenach łudząco podobnych wiemy tyle, że są zarejestrowane i czy mają pocztę; u najwyżej trzech sprawdzamy też datę rejestracji, przekierowanie na badaną domenę i podobieństwo strony głównej. Nie wiemy, do kogo należą.
- Sprawdzenia prawne (polityka prywatności, cookies, dane firmy) to heurystyki na stronie głównej.
- Wynik to stan z chwili skanu.
Poczta i podszywanie 24 % oceny, 12 sprawdzeń
SPF, DKIM, DMARC, MTA-STS, szyfrowanie serwera pocztowego.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Serwery pocztowe (MX) | Bez poprawnych MX poczta do firmy nie dochodzi. | 10 pkt |
| SPF: rekord | SPF mówi odbiorcom, które serwery mogą wysyłać pocztę z Twojej domeny. Bez niego wiadomości częściej lądują w spamie, a podszywanie jest łatwe. | 10 pkt |
| SPF: polityka "all" | Końcówka rekordu decyduje, co się dzieje z pocztą spoza listy nadawców. | 8 pkt |
| SPF: limit odwołań DNS | SPF może mieć najwyżej 10 odwołań DNS; powyżej odbiorcy zwracają błąd i ignorują rekord. | 6 pkt |
| DKIM: podpis wiadomości | DKIM podpisuje każdą wiadomość kluczem domeny; Gmail i Microsoft wymagają SPF lub DKIM, a do DMARC potrzebne jest jedno z nich z wyrównaniem. | 10 pkt |
| DMARC: rekord | DMARC łączy SPF i DKIM i mówi odbiorcom, co robić z podszywaniem. Bez niego ktoś może wysyłać faktury "od Ciebie". | 10 pkt |
| DMARC: polityka | p=none tylko obserwuje; dopiero quarantine/reject chroni przed podszywaniem. | 10 pkt |
| DMARC: raporty | Raporty rua pokazują, kto wysyła pocztę w imieniu domeny i co jest odrzucane. | 4 pkt |
| MTA-STS | Wymusza szyfrowanie TLS przy dostarczaniu poczty do Twojej domeny; bez tego atakujący w sieci może zdegradować połączenie do zwykłego tekstu. | 4 pkt |
| TLS-RPT | Raporty o nieudanych połączeniach TLS do Twoich serwerów pocztowych. | 2 pkt |
| Szyfrowanie na serwerze MX (STARTTLS) | Bez STARTTLS poczta przychodząca idzie otwartym tekstem; zły certyfikat psuje MTA-STS i DANE. | 8 pkt |
| Rekord odwrotny (PTR) serwera MX | Serwery odbiorców sprawdzają PTR adresu nadawcy; jego brak zwiększa szansę na spam. | 3 pkt |
Powierzchnia ataku 22 % oceny, 4 sprawdzenia
Subdomeny z logów certyfikatów, ryzyko przejęcia subdomeny, sekrety w kodzie strony, integralność skryptów.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Subdomeny w logach certyfikatów | Każdy certyfikat trafia do publicznych logów Certificate Transparency, więc adresy jak dev., test. czy admin. są widoczne dla wszystkich, a bywają zapomniane i słabiej chronione. | 6 pkt |
| Ryzyko przejęcia subdomeny | Jeśli subdomena wskazuje (CNAME) na nieistniejącą nazwę albo nieaktywną usługę, ktoś obcy może ją zarejestrować i serwować własną treść pod Twoim adresem (phishing, złośliwe skrypty). | 12 pkt |
| Integralność skryptów (SRI) | Skrypt ładowany z obcego serwera bez atrybutu integrity działa na Twojej stronie z pełnym zaufaniem; przejęcie tamtego serwera pozwala podmienić kod u Ciebie. | 4 pkt |
| Sekrety w kodzie strony | Klucze API, tokeny i hasła wklejone do kodu strony widzi każdy odwiedzający przez "pokaż źródło". To gotowy dostęp do Twoich systemów, poczty czy płatności. | 14 pkt |
Ochrona marki 14 % oceny, 3 sprawdzenia
Czy da się podszyć pod firmę w poczcie; zarejestrowane domeny łudząco podobne do Twojej.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Czy da się podszyć pod firmę | Bez skutecznego DMARC każdy może wysłać e-mail wyglądający na "od Twojej firmy" do Twoich klientów i kontrahentów. To mechanizm oszustw na fałszywą fakturę i zmianę numeru konta. | 10 pkt |
| Domeny łudząco podobne | Oszuści rejestrują nazwy z literówką albo inną końcówką, żeby podszywać się pod markę i łowić klientów. | 6 pkt |
| Podobne domeny z pocztą | Podobna domena z rekordem MX może odbierać pocztę zaadresowaną z pomyłką i prowadzić korespondencję w imieniu firmy o łudząco podobnej nazwie. | 4 pkt |
Strona WWW 18 % oceny, 21 sprawdzeń
HTTPS, certyfikat, nagłówki bezpieczeństwa, ciasteczka, wersja CMS.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| HTTPS działa | Bez HTTPS przeglądarki pokazują "Niezabezpieczona", a dane z formularzy idą otwartym tekstem. | 10 pkt |
| Przekierowanie HTTP → HTTPS | Jeśli wersja bez szyfrowania działa osobno, część osób korzysta z niej nieświadomie. | 6 pkt |
| Certyfikat TLS | Wygasły albo niepasujący certyfikat zatrzymuje odwiedzających na ekranie ostrzeżenia. | 8 pkt |
| Stare wersje TLS | TLS 1.0/1.1 są podatne i wycofane; nowoczesne przeglądarki ich nie używają. | 4 pkt |
| HSTS | Nagłówek każe przeglądarce zawsze używać HTTPS - chroni przed przechwyceniem pierwszego wejścia. | 5 pkt |
| Content-Security-Policy | Ogranicza, skąd strona może ładować skrypty - główna ochrona przed wstrzykniętym kodem (XSS). | 4 pkt |
| X-Content-Type-Options | Zapobiega zgadywaniu typu plików przez przeglądarkę (ataki przez podstawione pliki). | 3 pkt |
| Ochrona przed clickjackingiem | Bez tego stronę można osadzić w cudzej ramce i podkładać niewidoczne przyciski. | 3 pkt |
| Referrer-Policy | Decyduje, jakie adresy Twojej strony trafiają do innych witryn przy kliknięciu w link. | 2 pkt |
| Permissions-Policy | Wyłącza nieużywane funkcje przeglądarki (kamera, mikrofon, lokalizacja) dla osadzonych treści. | 1 pkt |
| Flagi ciasteczek | Ciasteczko bez Secure może wyciec przez http, bez HttpOnly jest dostępne dla skryptów. | 4 pkt |
| Ujawnianie wersji oprogramowania | Numer wersji w nagłówkach ułatwia dobranie gotowego exploita. | 3 pkt |
| System zarządzania treścią | Informacja o CMS pozwala dobrać instrukcje. | informacja |
| Mixed content | Zasoby ładowane przez http na stronie https są blokowane albo psują kłódkę. | 4 pkt |
| Rozmiar strony głównej | Duży HTML spowalnia pierwsze wyświetlenie, zwłaszcza na telefonie. | 3 pkt |
| Czas odpowiedzi serwera | Długi czas do pierwszego bajtu to wolny hosting albo brak cache. | 3 pkt |
| security.txt | Standardowy plik z kontaktem dla osób, które znajdą lukę. | 2 pkt |
| Adres z www. i bez | Część osób wpisuje www., część nie - obie wersje muszą prowadzić na stronę. | 2 pkt |
| IPv6 | Sieci komórkowe coraz częściej działają na IPv6; brak AAAA to translacja i wolniejsze połączenia. | 1 pkt |
| Wrażliwe pliki dostępne z internetu | Pliki .git, .env czy kopie konfiguracji zawierają hasła i kod. | 6 pkt |
| Wersja WordPressa | Stare wersje WordPressa i wtyczek to najczęstsza droga włamań na strony firm. | 6 pkt |
Domena i DNS 14 % oceny, 5 sprawdzeń
Termin ważności, DNSSEC, serwery nazw, CAA.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Termin ważności domeny | Wygaśnięcie domeny wyłącza stronę i pocztę; odzyskanie bywa kosztowne. | 8 pkt |
| DNSSEC | Podpisane odpowiedzi DNS uniemożliwiają podstawienie fałszywego adresu strony lub serwera poczty. | 4 pkt |
| Serwery nazw | Jeden serwer nazw to pojedynczy punkt awarii. | 3 pkt |
| Rekord CAA | Ogranicza, które urzędy certyfikacji mogą wystawić certyfikat dla domeny. | 2 pkt |
| Dane rejestru | Rejestrator i statusy domeny. | informacja |
Prywatność i RODO 8 % oceny, 6 sprawdzeń
Polityka prywatności, cookies i trackery, dane firmy.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Polityka prywatności | RODO wymaga informacji o przetwarzaniu danych, gdy strona zbiera dane (formularz, trackery). | 5 pkt |
| Zgoda na cookies i trackery | Skrypty śledzące (GA, Meta Pixel) wymagają zgody przed uruchomieniem (PKE, RODO). | 5 pkt |
| Dane firmy na stronie | Przedsiębiorca ma obowiązek podać nazwę, adres i NIP w sposób łatwo dostępny. | 4 pkt |
| Klauzula przy formularzu | Przy zbieraniu danych przez formularz trzeba spełnić obowiązek informacyjny. | 3 pkt |
| Regulamin sklepu | Sklep internetowy musi udostępniać regulamin (ustawa o prawach konsumenta). | 2 pkt |
| Zasoby firm trzecich | Każda obca domena na stronie to potencjalny transfer danych odwiedzających. | informacja |
Widoczność w Google poza oceną, 11 sprawdzeń
Poza oceną bezpieczeństwa: tytuł, opis, robots, sitemapa, wersja mobilna.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Tytuł strony | Tytuł to pierwsza linia w wynikach wyszukiwania. | 4 pkt |
| Meta description | Opis pod tytułem w wynikach wyszukiwania; bez niego Google wybiera losowy fragment. | 3 pkt |
| Nagłówek H1 | Jeden główny nagłówek porządkuje treść dla wyszukiwarek i czytników ekranu. | 3 pkt |
| Link canonical | Wskazuje wersję kanoniczną adresu (www/bez www, parametry). | 2 pkt |
| Język strony | Atrybut lang pomaga wyszukiwarkom i czytnikom ekranu. | 2 pkt |
| Wersja mobilna (viewport) | Bez meta viewport strona na telefonie jest pomniejszona; Google ocenia strony mobilnie. | 2 pkt |
| Open Graph | Decyduje o podglądzie linku w komunikatorach i mediach społecznościowych. | 2 pkt |
| Dane strukturalne | JSON-LD daje wyszukiwarce uporządkowane dane: firmy (Organization, LocalBusiness: adres, godziny), osoby (Person) albo produktu (SoftwareApplication, Product). | 2 pkt |
| Indeksowanie strony głównej | noindex wyłącza stronę z wyników wyszukiwania. | 4 pkt |
| robots.txt | Plik steruje robotami; błędny potrafi wyłączyć całą stronę z wyszukiwarki. | 3 pkt |
| Mapa strony (sitemap) | Sitemapa przyspiesza indeksowanie nowych podstron. | 3 pkt |
Dostępność strony poza oceną, 7 sprawdzeń
Poza oceną bezpieczeństwa: podstawy WCAG sprawdzalne automatycznie.
| Sprawdzenie | Dlaczego ważne | Waga |
|---|---|---|
| Opisy obrazów (alt) | Czytniki ekranu czytają alt; bez niego obraz jest pusty dla osób niewidomych. | 4 pkt |
| Język dokumentu | Czytnik ekranu dobiera wymowę po atrybucie lang. | 2 pkt |
| Etykiety pól formularza | Pole bez etykiety jest nieczytelne dla czytnika ekranu; placeholder nie zastępuje etykiety. | 3 pkt |
| Struktura nagłówków | Nagłówki h1-h6 to spis treści dla czytników ekranu; przeskoki poziomów gubią kontekst. | 2 pkt |
| Link "przejdź do treści" | Pozwala użytkownikom klawiatury ominąć menu. | 1 pkt |
| Tytuł strony | Tytuł jest pierwszą informacją odczytywaną przez czytnik ekranu. | 1 pkt |
| Powiększanie na telefonie | Blokada zoomu uniemożliwia czytanie osobom słabowidzącym. | 2 pkt |