Narzędzia do analizy bezpieczeństwa witryn
Przegląd dostępnych publicznie narzędzi, które właściciele stron mogą wykorzystać do samodzielnej oceny stanu bezpieczeństwa swojej witryny. Opisujemy możliwości i ograniczenia każdego z nich.
Weryfikacja certyfikatów i konfiguracji TLS
Poniższe narzędzia analizują konfigurację szyfrowania połączenia i wykrywają typowe błędy w implementacji SSL/TLS.
SSL Labs (Qualys)
Skaner SSL/TLSJedno z najbardziej szczegółowych narzędzi do analizy konfiguracji HTTPS. Ocenia protokoły szyfrowania, łańcuch certyfikatów, obsługę HSTS i podatność na znane ataki takie jak BEAST czy POODLE. Wynik prezentowany jest w formie oceny literowej od A+ do F.
Security Headers
Analiza nagłówków HTTPSprawdza obecność i poprawność nagłówków bezpieczeństwa HTTP takich jak Content-Security-Policy, X-Frame-Options, Referrer-Policy i Permissions-Policy. Nagłówki te chronią przed atakami XSS, clickjackingiem i wyciekiem informacji o użytkowniku.
Google Search Console
Monitoring widoczności i błędówBezpłatne narzędzie Google informujące o problemach bezpieczeństwa wykrytych przez Googlebot: złośliwe oprogramowanie, phishing, zainfekowane strony. Zawiera też raporty o błędach indeksowania, które mogą być efektem problemów z konfiguracją HTTPS.
Narzędzia do ogólnego audytu witryny
Google Lighthouse
Audyt wydajności i bezpieczeństwaWbudowany w Chrome DevTools audytor stron. Sprawdza wydajność, dostępność, SEO i podstawowe praktyki bezpieczeństwa. Raport zawiera m.in. informacje o brakujących nagłówkach bezpieczeństwa, mieszanej treści HTTP/HTTPS i innych problemach wpływających na ocenę witryny.
OWASP ZAP (Zed Attack Proxy)
Skaner podatności webowychOtwarte narzędzie do skanowania aplikacji webowych pod kątem typowych podatności: XSS, SQL Injection, CSRF i innych z listy OWASP Top 10. Dostępne w trybie pasywnym (obserwacja ruchu) i aktywnym (testowanie). Wymaga instalacji i podstawowej wiedzy technicznej.
WPScan
Skaner podatności WordPressNarzędzie specjalizowane w wykrywaniu podatności w instalacjach WordPress: nieaktualne wtyczki, motywy, konfiguracja pliku wp-config.php, wystawione pliki z informacjami o wersji. Korzysta z bazy podatności aktualizowanej przez społeczność.
Kilka uwag przed użyciem narzędzi
Testuj tylko własne witryny
Skanowanie aktywne cudzych witryn bez zgody właściciela jest niezgodne z prawem w większości jurysdykcji, w tym w Polsce. Narzędzia pasywne (analiza nagłówków, SSL) są bezpieczne dla dowolnych domen publicznych.
Interpretuj wyniki w kontekście
Niski wynik w narzędziu nie zawsze oznacza realne zagrożenie. Niektóre "ostrzeżenia" dotyczą konfiguracji, która może być świadoma. Raport to punkt wyjścia do analizy, nie wyrok końcowy.
Powtarzaj audyty regularnie
Nowe podatności są odkrywane codziennie. Wynik sprzed sześciu miesięcy może być nieaktualny. Planowanie regularnych przeglądów to element strategii bezpieczeństwa, nie jednorazowe działanie.
Narzędzia w działaniu
