Podrobný test TLS · 18 kontrol · v češtině

Test TLS, HSTS a bezpečnostních hlaviček.

TLS 1.3, certifikát a jeho řetězec, HSTS preload, hodnocení CSP, X-Frame-Options, Permissions-Policy, Referrer-Policy. Stejné kontroly jako Mozilla Observatory, ale česky a s ohledem na české hostingy.

Pasivní sken · žádná registrace · výsledky do 30 sekund

https://

Sken trvá 30 sekund. PDF report si pak vyžádejte tlačítkem na výsledcích.

Jak to funguje

3 kroky · 30 sekund

Zadáte adresu webu

Bez registrace a bez cookie lišty. Zadáte adresu a uvidíte výsledek.

Spustíme kontroly

TLS handshake, řetězec certifikátu, HSTS, CSP, hodnocení hlaviček. Celkem 18 kontrol.

Detailní report

U každého nálezu uvidíte odkaz na RFC, přesnou hodnotu a doporučenou konfiguraci, pokud chybí.

Co testuje plný sken

Stejné kontroly jako Mozilla Observatory a SecurityHeaders.com, plus věci specifické pro evropský trh (SPF s lokálními poskytovateli).

TLSkritické

TLS 1.0 / 1.1 jsou stále zapnuté

Tyto verze jsou od roku 2020 zastaralé a porušují standard PCI-DSS.

openssl s_client -tls1_1 → handshake OK

HSTSkritické

HSTS chybí

Bez Strict-Transport-Security jde první požadavek vždy přes HTTP. Útok „sslstrip“ na veřejné Wi-Fi je pak triviální.

Strict-Transport-Security: (chybí)

HSTSvarování

HSTS bez preload

max-age je nastaven, ale doména není v Chromu na seznamu HSTS preload. Doporučujeme max-age=31536000 + includeSubDomains + preload.

STS: max-age=300 (pro preload je to málo)

CSPvarování

CSP používá unsafe-inline

default-src 'self' 'unsafe-inline' fakticky vypíná ochranu před XSS. Doporučujeme přejít na CSP s nonce.

CSP: default-src 'self' 'unsafe-inline'

Hlavičkyvarování

X-Frame-Options chybí

Bez této hlavičky lze stránku vložit do iframe a zneužít ke clickjackingu. Modernější alternativou je CSP s direktivou frame-ancestors.

X-Frame-Options: (chybí)

TLSkritické

Certifikát neodpovídá doméně

Prohlížeč zobrazí blokující varování, protože hostname není uvedený v certifikátu.

CERTIFICATE_VERIFY_FAILED: hostname mismatch

O Vulscan

Mozilla Observatory máme rádi, ale chyběl nám evropský kontext: co říct zákazníkovi, který hostuje u lokálního evropského poskytovatele nebo na cloudu. Tento test je technický, ale s ohledem na to, kdo to bude muset opravit.

hello@vulscan.app LinkedIn

Pasivní sken

Žádné invazivní testy. Chováme se jako běžný návštěvník, web naši kontrolu nepocítí.

Český kontext

Známe místní hostingy, CMS i registrátory, takže doporučení dáváme konkrétní.

Skutečná pomoc

Když nálezu nerozumíte, napište nám. Odpovíme.

Časté otázky

Jak se to liší od Mozilla Observatory?+

Stejné základní hodnocení, navíc kontrola SPF s lokálními poskytovateli (Smartemailing, Mailkit) a doporučení v češtině.

Máte API?+

Máme privátní API pro naše partnery. Pokud byste ho chtěli využívat, ozvěte se nám a domluvíme se.

Je sken bezpečný? Nepoškodí to web?+

Ano. Sken je pasivní a chová se jako obyčejný návštěvník. Nezkoušíme exploity, neprolamujeme hesla a neposíláme útočné požadavky. Web naši kontrolu nepocítí.

Co děláte s daty? Kam jdou výsledky?+

Nejzávažnější nálezy uvidíte hned na webu. Kompletní PDF report si pošlete na e-mail jedním kliknutím. E-mail si necháme, abychom vás mohli upozornit, kdyby se na vaší doméně objevil nový vážný nález. Z odběru se můžete kdykoliv odhlásit.

Co když najdete kritický problém?+

Dostanete report, kde je každý problém vysvětlený a má konkrétní krok k opravě. Většinu věcí zvládne váš webmaster. Pokud ne, napište nám. Rádi se na to podíváme.

Spusťte plný test TLS a bezpečnostních hlaviček.

Bez e-mailu a bez registrace. Stačí zadat adresu a uvidíte výsledek. PDF report si pak můžete nechat poslat na e-mail.