Podrobný test TLS · 18 kontrol · v slovenčine

Test TLS, HSTS a bezpečnostných hlavičiek.

TLS 1.3, certifikát a jeho reťazec, HSTS preload, hodnotenie CSP, X-Frame-Options, Permissions-Policy, Referrer-Policy. Rovnaké kontroly ako Mozilla Observatory, ale slovensky a s ohľadom na lokálne hostingy.

Pasívny sken · žiadna registrácia · výsledky do 30 sekúnd

https://

Sken trvá 30 sekúnd. PDF report si potom vyžiadajte tlačidlom na výsledkoch.

Ako to funguje

3 kroky · 30 sekúnd

Zadáte adresu webu

Bez registrácie a bez cookie lišty. Zadáte adresu a uvidíte výsledok.

Spustíme kontroly

TLS handshake, reťazec certifikátu, HSTS, CSP, hodnotenie hlavičiek. Celkom 18 kontrol.

Detailný report

Pri každom náleze uvidíte odkaz na RFC, presnú hodnotu a odporúčanú konfiguráciu, ak chýba.

Čo testuje plný sken

Rovnaké kontroly ako Mozilla Observatory a SecurityHeaders.com, plus veci špecifické pre európsky trh (SPF s lokálnymi poskytovateľmi).

TLSkritické

TLS 1.0 / 1.1 sú stále zapnuté

Tieto verzie sú od roku 2020 zastarané a porušujú štandard PCI-DSS.

openssl s_client -tls1_1 → handshake OK

HSTSkritické

HSTS chýba

Bez Strict-Transport-Security ide prvá požiadavka vždy cez HTTP. Útok „sslstrip“ na verejnej Wi-Fi je potom triviálny.

Strict-Transport-Security: (chýba)

HSTSvarovanie

HSTS bez preload

max-age je nastavený, ale doména nie je v Chrome HSTS preload liste. Odporúčame max-age=31536000 + includeSubDomains + preload.

STS: max-age=300 (pre preload je to málo)

CSPvarovanie

CSP používa unsafe-inline

default-src 'self' 'unsafe-inline' fakticky vypína ochranu pred XSS. Odporúčame prejsť na CSP s nonce.

CSP: default-src 'self' 'unsafe-inline'

Hlavičkyvarovanie

X-Frame-Options chýba

Bez tejto hlavičky možno stránku vložiť do iframe a zneužiť ku clickjackingu. Modernejšou alternatívou je CSP s direktívou frame-ancestors.

X-Frame-Options: (chýba)

TLSkritické

Certifikát nezodpovedá doméne

Prehliadač zobrazí blokujúce varovanie, pretože hostname nie je uvedený v certifikáte.

CERTIFICATE_VERIFY_FAILED: hostname mismatch

O Vulscan

Mozilla Observatory máme radi, ale chýbal nám európsky kontext: čo povedať zákazníkovi, ktorý hostuje u lokálneho európskeho poskytovateľa alebo na cloude. Tento test je technický, ale s ohľadom na to, kto to bude musieť opraviť.

hello@vulscan.app LinkedIn

Pasívny sken

Žiadne invazívne testy. Správame sa ako bežný návštevník, web našu kontrolu nepocíti.

Lokálny kontext

Poznáme miestne hostingy, CMS aj registrátorov, takže odporúčania dávame konkrétne.

Skutočná pomoc

Keď nálezu nerozumiete, napíšte nám. Odpovieme.

Časté otázky

Ako sa to líši od Mozilla Observatory?+

Rovnaké základné hodnotenie, navyše kontrola SPF s lokálnymi poskytovateľmi a odporúčania v slovenčine.

Máte API?+

Máme privátne API pre našich partnerov. Ak by ste ho chceli využívať, ozvite sa nám a dohodneme sa.

Je sken bezpečný? Nepoškodí to web?+

Áno. Sken je pasívny a správa sa ako obyčajný návštevník. Neskúšame exploity, neprelamujeme heslá a neposielame útočné požiadavky. Web našu kontrolu nepocíti.

Čo robíte s dátami? Kam idú výsledky?+

Najzávažnejšie nálezy uvidíte hneď na webe. Kompletný PDF report si pošlete na e-mail jedným kliknutím. E-mail si necháme, aby sme vás mohli upozorniť, keby sa na vašej doméne objavil nový vážny nález. Z odberu sa môžete kedykoľvek odhlásiť.

Čo keď nájdete kritický problém?+

Dostanete report, kde je každý problém vysvetlený a má konkrétny krok na opravu. Väčšinu vecí zvládne váš webmaster. Ak nie, napíšte nám. Radi sa na to pozrieme.

Spustite plný test TLS a bezpečnostných hlavičiek.

Bez e-mailu a bez registrácie. Stačí zadať adresu a uvidíte výsledok. PDF report si potom môžete nechať poslať na e-mail.