Przykładowy wynik audytu: 65/100

To przykład. Domena firma-przyklad.pl nie istnieje, a ustalenia policzył ten sam skaner na przygotowanych danych. Twoja firma dostanie taką samą stronę z własnymi wynikami.

Raport pełny w PDF będzie dostępny wkrótce: zobacz przykładowy (PDF).

Co to znaczy dla firmy

Z publicznych źródeł widać elementy infrastruktury, które ułatwiają wybór celu ataku.

Poczta firmowa jest słabiej chroniona: łatwiej wysłać wiadomość, która wygląda na wysłaną przez firmę, a prawdziwe wiadomości częściej trafiają do spamu.

Najważniejsze poprawki

Ryzyko przejęcia subdomeny krytyczne
1 rekord DNS wskazuje na nieistniejącą nazwę (np. stary-sklep.firma-przyklad.pl → firma-przyklad-sklep.hostingsklepow.example). Ktoś może zarejestrować cel i podstawić treść pod Twoją subdomenę. Usuń porzucone rekordy DNS.
Jeśli subdomena wskazuje (CNAME) na nieistniejącą nazwę albo nieaktywną usługę, ktoś obcy może ją zarejestrować i serwować własną treść pod Twoim adresem (phishing, złośliwe skrypty).
Jak naprawić: Usuń z DNS rekordy wskazujące na usługi, których już nie używasz.
DMARC: rekord krytyczne
Brak rekordu DMARC - każdy może wysyłać wiadomości "od" tej domeny, a odbiorcy nie dostają polecenia, co z nimi robić.
DMARC łączy SPF i DKIM i mówi odbiorcom, co robić z podszywaniem. Bez niego ktoś może wysyłać faktury "od Ciebie".
Jak naprawić: Dodaj TXT _dmarc.<domena>: v=DMARC1; p=none; rua=mailto:… - zacznij od monitorowania.
Poradnik: jak to naprawić krok po kroku
Czy da się podszyć pod firmę krytyczne
Każdy może wysłać wiadomość wyglądającą na "od Twojej firmy" i trafi ona do skrzynki odbiorcy (klienta, kontrahenta). Brakuje skutecznej polityki DMARC. To główny mechanizm oszustw "na fakturę".
Bez skutecznego DMARC każdy może wysłać e-mail wyglądający na "od Twojej firmy" do Twoich klientów i kontrahentów. To mechanizm oszustw na fałszywą fakturę i zmianę numeru konta.
Jak naprawić: Doprowadź SPF i DKIM do porządku, a politykę DMARC ustaw na quarantine, potem reject.
Poradnik: jak to naprawić krok po kroku

Instrukcje krok po kroku dla dostawców poczty i DNS: poradniki. Sprawdzenie samego rekordu: SPF, DMARC.

Co widzi atakujący

Może wysłać wiadomość z adresem nadawcy w Twojej domenie, a serwer odbiorcy nie dostaje polecenia, żeby ją odrzucić.
Widzi subdomenę wskazującą na usługę, której już nie ma; taką nazwę bywa da się przejąć i wystawić pod nią własną treść.
Może użyć zarejestrowanej już domeny z literówką w Twojej nazwie, żeby podszyć się pod firmę w poczcie albo na stronie.

Następny krok

Zacznij od pierwszej poprawki z listy. Po zmianie uruchom skan ponownie: wynik pokaże, czy zmiana zadziałała.

Sprawdziliśmy z zewnątrz 67 ustawień w obszarach: poczta i podszywanie, powierzchnia ataku, ochrona marki, strona WWW, domena i DNS, prywatność i RODO. Tak samo widzi je każdy w internecie, bez logowania i bez dostępu do serwera. 2 sprawdzeń nie dało się wykonać, więc nie wchodzą do wyniku.

Poczta i podszywanie 77/100

SPF, DKIM, DMARC, MTA-STS, szyfrowanie serwera pocztowego.

DMARC: rekord krytyczne
Brak rekordu DMARC - każdy może wysyłać wiadomości "od" tej domeny, a odbiorcy nie dostają polecenia, co z nimi robić.

Poradnik naprawy
MTA-STS do poprawy
Brak MTA-STS - szyfrowanie przy odbiorze poczty nie jest wymuszane (zalecane dla firm).

Poradnik naprawy
TLS-RPT do poprawy
Brak TLS-RPT (raporty o błędach TLS przy dostarczaniu).

Poradnik naprawy
DMARC: polityka nie sprawdzono
Bez rekordu DMARC nie ma czego ocenić.
DMARC: raporty nie sprawdzono
Bez rekordu DMARC nie ma czego ocenić.

Bez uwag: 7

Serwery pocztowe (MX) OK
Poczta: Google Workspace
SPF: rekord OK
Rekord SPF istnieje i ma poprawną składnię.
SPF: polityka "all" OK
"-all": poczta spoza listy jest odrzucana.
SPF: limit odwołań DNS OK
1 z 10 dozwolonych odwołań DNS.
DKIM: podpis wiadomości OK
DKIM: google (rsa 2048)
Szyfrowanie na serwerze MX (STARTTLS) OK
Poczta u dużego dostawcy (Google Workspace) - STARTTLS i certyfikaty są tam standardem (nie sondujemy).
Rekord odwrotny (PTR) serwera MX OK
PTR 93.184.216.34 → aspmx.l.google.com.

Powierzchnia ataku 51/100

Subdomeny z logów certyfikatów, ryzyko przejęcia subdomeny, sekrety w kodzie strony, integralność skryptów.

Ryzyko przejęcia subdomeny krytyczne
1 rekord DNS wskazuje na nieistniejącą nazwę (np. stary-sklep.firma-przyklad.pl → firma-przyklad-sklep.hostingsklepow.example). Ktoś może zarejestrować cel i podstawić treść pod Twoją subdomenę. Usuń porzucone rekordy DNS.
Subdomeny w logach certyfikatów do sprawdzenia
W publicznych logach certyfikatów są subdomeny (4), w tym o nazwach typowych dla środowisk testowych albo paneli: test.firma-przyklad.pl. Sprawdź, czy mają być dostępne z internetu i czy są chronione.
Integralność skryptów (SRI) do poprawy
1 skrypt ładowany z obcych serwerów (cdn.przyklad-widget.example) bez zabezpieczenia integralności (SRI). Jeśli któryś serwer zostanie przejęty, może podmienić skrypt na Twojej stronie.

Bez uwag: 1

Sekrety w kodzie strony OK
Nie znaleziono sekretów w kodzie strony (przejrzane skrypty z tej domeny: 0).

Ochrona marki 20/100

Czy da się podszyć pod firmę w poczcie; zarejestrowane domeny łudząco podobne do Twojej.

Czy da się podszyć pod firmę krytyczne
Każdy może wysłać wiadomość wyglądającą na "od Twojej firmy" i trafi ona do skrzynki odbiorcy (klienta, kontrahenta). Brakuje skutecznej polityki DMARC. To główny mechanizm oszustw "na fakturę".

Poradnik naprawy
Domeny łudząco podobne do sprawdzenia
Zarejestrowane są nazwy różniące się od Twojej literówką, podobnym znakiem albo dopiskiem: frma-przyklad.pl. Sprawdź, czy są Twoje. Cudza domena tego typu nadaje się do podszywania się pod firmę. Ta sama nazwa z inną końcówką jest zarejestrowana: firma-przyklad.com. To mogą być Twoje domeny albo inne firmy o tej samej nazwie.

Poradnik naprawy
Podobne domeny z pocztą do sprawdzenia
Poczta jest skonfigurowana (rekord MX) na podobnych domenach: frma-przyklad.pl, firma-przyklad.com. Jeśli nie są Twoje, mogą posłużyć do korespondencji udającej Twoją firmę. Sam rekord MX nie dowodzi złych zamiarów.

Poradnik naprawy

Strona WWW 90/100

HTTPS, certyfikat, nagłówki bezpieczeństwa, ciasteczka, wersja CMS.

Content-Security-Policy do poprawy
Brak Content-Security-Policy (ochrona przed wstrzykiwaniem skryptów).
security.txt do poprawy
Brak /.well-known/security.txt (jak zgłosić Ci lukę w bezpieczeństwie).
Permissions-Policy do poprawy
Brak Permissions-Policy.

Bez uwag: 18

System zarządzania treścią informacja
Nie rozpoznano CMS.
Wrażliwe pliki dostępne z internetu informacja
Poza zakresem tego skanu: wrażliwe ścieżki (kopie zapasowe, pliki konfiguracyjne) sprawdzamy tylko dla domen z potwierdzoną własnością.
Wersja WordPressa informacja
Nie dotyczy: strona nie jest WordPressem.
HTTPS działa OK
HTTPS działa (https://firma-przyklad.pl/).
Przekierowanie HTTP → HTTPS OK
HTTP przekierowuje na HTTPS.
Certyfikat TLS OK
Certyfikat ważny jeszcze 63 dni (Let's Encrypt), TLSv1.3.
Stare wersje TLS OK
Serwer odrzuca TLS 1.0/1.1.
HSTS OK
HSTS włączone (max-age ≥ 180 dni).
X-Content-Type-Options OK
X-Content-Type-Options: nosniff.
Ochrona przed clickjackingiem OK
Osadzanie w ramkach ograniczone (clickjacking).
Referrer-Policy OK
Referrer-Policy: strict-origin-when-cross-origin.
Flagi ciasteczek OK
Strona nie ustawia ciasteczek przy wejściu.
Ujawnianie wersji oprogramowania OK
Nagłówki nie ujawniają wersji oprogramowania.
Mixed content OK
Brak mixed content.
Rozmiar strony głównej OK
HTML strony głównej: 1 KB.
Czas odpowiedzi serwera OK
Czas do pierwszego bajtu: 120 ms.
Adres z www. i bez OK
Adres działa z "www." i bez.
IPv6 OK
Strona ma adres IPv6.

Domena i DNS 65/100

Termin ważności, DNSSEC, serwery nazw, CAA.

DNSSEC do poprawy
Brak DNSSEC - odpowiedzi DNS domeny nie są podpisane (możliwe podstawienie adresu w sieciach bez ochrony).
Rekord CAA do poprawy
Brak rekordu CAA (każdy urząd certyfikacji może wystawić certyfikat dla domeny).

Bez uwag: 3

Dane rejestru informacja
Rejestrator: Rejestrator Przykładowy; statusy: active.
Termin ważności domeny OK
Domena firma-przyklad.pl ważna jeszcze 123 dni (2027-03-14).
Serwery nazw OK
2 serwery nazw (Cloudflare).

Prywatność i RODO 86/100

Polityka prywatności, cookies i trackery, dane firmy.

Klauzula przy formularzu do poprawy
Formularz bez klauzuli informacyjnej RODO i bez pola zgody.

Bez uwag: 5

Regulamin sklepu informacja
Nie dotyczy: strona nie wygląda na sklep.
Zasoby firm trzecich informacja
1 domen firm trzecich ładowanych na stronie.
Polityka prywatności OK
Link do polityki prywatności na stronie głównej.
Zgoda na cookies i trackery OK
Nie wykryto skryptów śledzących firm trzecich.
Dane firmy na stronie OK
Dane identyfikacyjne firmy (NIP/KRS/REGON) są na stronie głównej.

Widoczność w Google 87/100

Poza oceną bezpieczeństwa: tytuł, opis, robots, sitemapa, wersja mobilna.

Open Graph do poprawy
Brak znaczników Open Graph - link do strony nie ma ładnego podglądu.
Dane strukturalne do poprawy
Brak danych strukturalnych JSON-LD (Organization albo LocalBusiness dla firmy, Person dla strony osoby, SoftwareApplication albo Product dla produktu).

Bez uwag: 9

Tytuł strony OK
Tytuł: "Firma Przykład - biuro rachunkowe w Poznaniu".
Meta description OK
Meta description o dobrej długości.
Nagłówek H1 OK
Jeden nagłówek H1: "Firma Przykład".
Link canonical OK
Link canonical ustawiony.
Język strony OK
Język strony: pl.
Wersja mobilna (viewport) OK
Meta viewport (wersja mobilna).
Indeksowanie strony głównej OK
Strona główna może być indeksowana.
robots.txt OK
robots.txt istnieje.
Mapa strony (sitemap) OK
Sitemapa wskazana w robots.txt (https://firma-przyklad.pl/sitemap.xml).

Dostępność strony 93/100

Poza oceną bezpieczeństwa: podstawy WCAG sprawdzalne automatycznie.

Link "przejdź do treści" do poprawy
Brak linku "przejdź do treści" dla klawiatury.

Bez uwag: 6

Opisy obrazów (alt) OK
Wszystkie obrazy (1) mają atrybut alt.
Język dokumentu OK
Język dokumentu zadeklarowany.
Etykiety pól formularza OK
Wszystkie pola (1) mają etykiety.
Struktura nagłówków OK
Nagłówki zaczynają się od H1 i nie przeskakują poziomów.
Tytuł strony OK
Strona ma tytuł.
Powiększanie na telefonie OK
Powiększanie na telefonie nie jest zablokowane.

Środki NIS2: co widać z zewnątrz

z zewnątrz bez uwag: 1, częściowo: 3, braki: 4, poza zasięgiem skanu: 2

Skan z zewnątrz widzi część z dziesięciu środków z art. 21 ust. 2 dyrektywy; polityki, szkolenia, kopie zapasowe i logowanie dwuskładnikowe potwierdzasz wewnątrz firmy.

a

Analiza ryzyka i polityki bezpieczeństwa informacji

Poza zasięgiem skanu: polityki analizy ryzyka i bezpieczeństwa informacji zatwierdzone przez zarząd.

poza zasięgiem skanu

b

Obsługa incydentów (wykrywanie, reagowanie, zgłaszanie)

Z zewnątrz: czy domena-sobowtór jest gotowa do phishingu. Wewnątrz: procedury wykrywania i zgłaszania incydentów (CSIRT).

braki

c

Ciągłość działania i kopie zapasowe

Z zewnątrz: termin ważności domeny, redundancja serwerów nazw. Wewnątrz: wykonywane i testowane kopie zapasowe, plan odtwarzania.

z zewnątrz bez uwag

d

Bezpieczeństwo łańcucha dostaw

Z zewnątrz: skrypty z obcych serwerów i ich integralność (SRI). Wewnątrz: ocena dostawców i umowy.

braki

e

Bezpieczeństwo systemów i obsługa podatności

Z zewnątrz: aktualność oprogramowania, sekrety w kodzie, ryzyko przejęcia subdomeny, nagłówki, kanał zgłaszania luk. Wewnątrz: proces aktualizacji i testów.

braki

f

Ocena skuteczności środków bezpieczeństwa

Z zewnątrz: jednorazowy pomiar stanu. Wewnątrz: cykliczny przegląd skuteczności (tu wchodzi monitoring SecVault Strażnik).

częściowo

g

Higiena cyberbezpieczeństwa i szkolenia

Z zewnątrz: uwierzytelnianie poczty (SPF, DKIM, DMARC), odporność na podszywanie, HTTPS. Wewnątrz: szkolenia pracowników.

braki

h

Kryptografia i szyfrowanie

Z zewnątrz: TLS i certyfikat, STARTTLS i MTA-STS w poczcie, HSTS, DNSSEC. Wewnątrz: polityka kryptografii, szyfrowanie danych w spoczynku.

częściowo

i

Kontrola dostępu i zarządzanie aktywami

Z zewnątrz: ujawnione panele i subdomeny administracyjne. Wewnątrz: polityki dostępu, zarządzanie aktywami i uprawnieniami.

częściowo

j

Uwierzytelnianie wieloskładnikowe i bezpieczna łączność

Z zewnątrz: szyfrowanie połączeń (TLS, STARTTLS). Wewnątrz: MFA na kontach i panelach, bezpieczna łączność awaryjna.

poza zasięgiem skanu

Pełne omówienie zakresu: pre-check NIS2.

Chcesz, żeby to się nie zepsuło?

Abonament Strażnik (29 zł/mies.) sprawdza domenę co tydzień, streszcza raporty DMARC po polsku, pilnuje certyfikatu, terminu domeny i dostępności strony, a przy pogorszeniu wysyła alarm. Startujemy wkrótce; zostaw adres, damy znać.

Jak czytać wynik

Każde sprawdzenie ma wagę; wynik obszaru to zdobyte punkty podzielone przez możliwe. Wynik ogólny to średnia ważona obszarów: poczta i podszywanie 24 %, powierzchnia ataku 22 %, ochrona marki 14 %, strona WWW 18 %, domena i DNS 14 %, prywatność i RODO 8 %.

Ocena literą: A od 90, B od 80, C od 65, D od 50, E poniżej 50 punktów; sprawa krytyczna obniża literę najwyżej do D, a pierścień i pasek obszaru mają wtedy kolor alarmowy. Przygaszony zielony pasek: część sprawdzeń w obszarze nie została wykonana. Widoczność w Google i dostępność strony pokazujemy osobno, poza oceną bezpieczeństwa. Sprawdzenia "nie sprawdzono" nie wchodzą do wyniku. Pełna lista sprawdzeń z wagami: metoda.

Sprawdź inną domenę