Analýza zdarma
  1. Domů
  2. Bezpečnostní kontrola webu

Kontrola zvenku · podle OWASP

Najděte otevřená vrátka dřív než útočník.

Projdu váš web a server zvenku, tak jak by je prohlédl někdo cizí. Pošlu vám česky, co je špatně, jak moc to vadí a kdo to opraví. Nic nerozbíjím, nic nezapisuji ani nemažu.

Vybrat kontrolu
kontrolních šablon, všechny jen čtecí
1 712
zápisů na testovaném serveru
0
rescan po opravě do 30 dnů
v ceně
od
990 Kč

Co zkontroluju

Šest oblastí, které se dají ověřit bez přístupu do webu. První tři vidí každý prohlížeč a DNS. Zbylé tři zkouší server aktivně, proto jen s vaším souhlasem.

Šifrování a hlavičky

Platnost a nastavení HTTPS, hlavičky proti běžným útokům, bezpečnost cookies a skripty z cizích serverů. Přesně to, co vidí každý prohlížeč.

Hlídá: přenos dat a přihlášení před cizíma očima

  • TLS
  • HSTS
  • CSP
  • cookies

E-mail vaší domény

Nastavení SPF, DKIM a DMARC. Chrání před podvrženými e-maily ve jménu vaší firmy a pomáhá, aby ty vaše nekončily ve spamu.

Hlídá: podvržené e-maily ve jménu vaší firmy

  • SPF
  • DKIM
  • DMARC
  • DNSSEC

Subdomény a zapomenuté věci

Najdu subdomény z veřejných certifikátů a ty, které míří na zrušenou službu a šly by převzít. Často o nich nikdo ve firmě neví.

Hlídá: zapomenuté vedlejší weby a staré služby

  • subdomény
  • CNAME
  • zbytky WordPressu

Otevřené porty

Zjistím, jestli server nevystavuje databázi, vzdálenou plochu nebo FTP bez šifrování. Zkouším zhruba 20 běžných portů, jen na serveru, který je váš.

Hlídá: databáze a vzdálený přístup dostupné zvenku

  • jen se souhlasem

Zapomenuté soubory

Zálohy, konfigurační soubory, výpis složek a ukázkové instalace, které se na veřejný web nikdy dostat neměly.

Hlídá: zálohy, přístupové údaje a klientská data ve veřejných souborech

  • jen se souhlasem

Známé zranitelnosti

Přes tisíc kontrolních šablon na známé díry a chybná nastavení. Šablony, které by do webu zapisovaly, jsem vyřadil.

Hlídá: zastaralá rozšíření, pluginy a služby třetích stran se známou dírou

  • Nuclei
  • jen se souhlasem

Co to není: penetrační test

Pentest dělá člověk ručně. Zkouší přihlášení, objednávky a logiku aplikace a nález potvrdí skutečným průnikem. Jsou to dny práce a jiná cenová hladina.

Moje kontrola je automatická a čtecí. Projde, co je vidět zvenku, a neumí zkoušet hesla, obcházet přihlášení ani útočit na formuláře. Výsledek popisuje stav ke dni kontroly a není zárukou. Nenalezení problému neznamená, že je web bezpečný.

Kontrola nechrání, ukazuje. Řekne, co je zvenku vidět a otevřené. Chrání až oprava, kterou provede ten, komu věc patří.

Provozujete e-shop s platbami nebo citlivá data? Pak vám po kontrole řeknu, kdy už má smysl pentest u specializované firmy.

Tři balíčky

Ceny jsou konečné. Kontrola jen čte, nic nezapisuje ani nemaže a běží omezenou rychlostí.

Pasivní rozbor

990 Kč

jen to, co vidí každý prohlížeč

Rychlý pohled zvenku. Pro firmu před výběrem dodavatele nebo jako příloha k SEO auditu.

  • Šifrování, hlavičky a cookies
  • SPF, DKIM, DMARC, CAA, DNSSEC
  • Subdomény a převzatelné záznamy
  • Report česky: nález, důkaz, kdo opravuje
  • Sekce „co proběhlo bez nálezu“
  • Porty, soubory a šablony zranitelností
Nejúplnější

Aktivní kontrola s rescanem

4 900 Kč

písemný souhlas před během

Před spuštěním nového webu, po napadení nebo před auditem. Prověřím i to, co prohlížeč nevidí.

  • Vše z pasivního rozboru
  • Porty, citlivé soubory, zálohy, výpis složek
  • 1 712 čtecích šablon na známé zranitelnosti
  • Priority: VÁŽNÉ, DROBNÉ, k ověření
  • U každého nálezu kdo a jak opraví
  • 1 rescan po opravě do 30 dnů, srovnání před a po

Měsíční hlídání

990 Kč/měs.

ve správě PLUS v ceně

Web se mění a s ním i jeho plocha. Ozvu se, jen když je co řešit.

  • Jednou měsíčně pasivní i aktivní běh
  • Čtvrtletně šablony zranitelností
  • Hlásím jen změny: nová subdoména, nový port, končící certifikát, zmizelá hlavička
  • Beze změn dostanete jednu větu
  • Souhlas na dobu smlouvy, odvolatelný e‑mailem

Proč před aktivní kontrolou chci váš podpis

Zkoušet porty a hledat soubory na cizím serveru bez dovolení se nedělá, ani když je úmysl dobrý. Před aktivní částí proto dostanete jednostránkový souhlas: které domény a servery se zkontrolují, kdy, jak rychle a koho mám kontaktovat, kdyby se něco dělo. Co v souhlasu není, aktivně nezkouším. Bez podpisu aktivní část nespouštím.

Pro vás to znamená jistotu, že kontrola proběhla v domluveném rozsahu a termínu. Běží-li web na sdíleném hostingu, porty serveru nekontroluji, protože patří i dalším zákazníkům hostingu a souhlas za ně dát nemůžete. Porty na vlastním serveru (VPS, dedikovaný server) zkouším, až když podmínky hostingu aktivní kontrolu povolují nebo mám souhlas jeho provozovatele.

Narazím-li při kontrole na osobní údaje, například veřejně dostupnou zálohu, nepracuji s nimi dál. Do reportu dám jen adresu a typ nálezu a dám vám vědět bez zbytečného odkladu.

Jak to probíhá

1

Objednávka

Pošlete mi doménu. U aktivní kontroly podepíšete souhlas s rozsahem a termínem.

2

Kontrola

Spustím ji v domluveném termínu. Samotný běh trvá minuty, nálezy pak pročítám ručně.

3

Report česky

U každého nálezu najdete důkaz (adresu a odpověď serveru), prioritu a to, kdo ho opraví: web, hosting, DNS, nebo vy.

4

Oprava a rescan

Opraví ten, komu věc patří. Moje úpravy webu jdou podle ceníku. Do 30 dnů zkontroluji znovu a pošlu srovnání.

Časté otázky

O kontrole zvenku bez strašení.

Miroslav MichalecOdpovídá do 24 hodin

Ne. Je to automatická čtecí kontrola zvenku. Pentest je ruční práce, při které člověk zkouší přihlášení a logiku aplikace a nález potvrdí průnikem. To moje kontrola neumí a neslibuje.

Chcete vědět, co o vašem webu vidí cizí člověk?

Napište mi doménu a řekněte, jestli stačí pasivní rozbor, nebo chcete aktivní kontrolu. Odpovím do 24 hodin.

Napsat o kontrole