TLS a bezpečnost

Ukazuje, zda návštěvníci mohou webu důvěřovat bez varování v prohlížeči nebo rozbitého spojení.

Ukazuje, zda server ještě přijímá zastaralé verze TLS nebo SSL, které už by měly být vypnuté.

Ukazuje, zda prohlížeče dostávají pokyn držet se při dalších návštěvách jen HTTPS.

Ukazuje, zda certifikát, který web právě používá, skutečně odpovídá tvé CAA politice.

Ukazuje, zda server nepovoluje slabé šifry, které by už neměl nabízet.

Ukazuje, zda jsou důležité cookies chráněné flagy, které se dnes od bezpečného webu čekají.

Ukazuje, zda má prohlížeč jasně omezené, jaký kód a assety smí stránka načítat.

Ukazuje, zda máš pod kontrolou, které certifikační autority smějí pro doménu vydat certifikát.

Ukazuje, zda web nepouští browserově čitelné odpovědi příliš široce i k cizím originům.

Kontroluje, zda není veřejně ke stažení záložní archiv.

Kontroluje, zda není veřejně dostupný dump databáze.

Kontroluje, zda není veřejně přístupný soubor docker-compose.yml.

Kontroluje, zda není veřejně přístupný soubor docker-compose.yaml.

Kontroluje, zda není veřejně dostupný metadata soubor z macOS Finderu.

Ověřuje, zda konfigurační soubor .env není veřejně dostupný.

Ukazuje, zda nasazený web neuniká i s Git repozitářem, který za ním stojí.

Ověřuje, zda soubor .htaccess není veřejně dostupný.

Kontroluje, zda nejsou veřejně dostupná metadata starého Subversion repozitáře.

Kontroluje, zda není veřejně dostupná záloha konfigurace WordPressu.

Ukazuje, zda je stránka chráněná proti vložení do cizího rámu pro clickjacking.

Kontroluje, zda hlavička X-Powered-By neprozrazuje backend nebo framework.

Kontroluje, zda Server hlavička neprozrazuje přesnou verzi používaného softwaru.

Ukazuje, zda jsou funkce prohlížeče omezené jen na to, co web opravdu potřebuje.

Ukazuje, zda neposíláš dál víc informací o URL, než je nutné.

Ukazuje, zda prohlížečům zakazuješ domýšlet nebezpečné typy souborů.

Ukazuje, zda mají bezpečnostní výzkumníci jasnou cestu, jak ti problém nahlásit dřív, než z něj bude incident.