Проверка безопасности сайта на уязвимости и вирусы.

В отличие от поверхностных скриптов-безделушек, которые лишь пингуют главную страницу, Site Check развертывает глубокий эшелонированный аудит с задействованием тысяч специализированных инструментов, эвристических анализаторов и сигнатурных баз. Сканер моделирует различные типы браузерных окружений, исследует клиентские бандлы, тестирует скрытые пути, анализирует DNS-инфраструктуру и сопоставляет уязвимости с базами CVE и OWASP. Полный цикл глубокой проверки занимает до 24 часов, гарантируя реальный результат без ложных срабатываний.

Вы вводите публичный адрес любого веб-сайта или веб-приложения. Наш сканер подключается к периметру ресурса по протоколам HTTP/HTTPS, анализирует заголовки безопасности, проверяет валидность цепочки SSL/TLS-сертификатов, декомпилирует и инспектирует клиентский JavaScript на предмет утечек приватных API-ключей и токенов, а также исследует свыше 150 стандартных путей к забытым файлам конфигурации (.env, .git, архивы бэкапов). По завершении формируется детальный отчет с приоритетами рисков и готовыми патчами.

На 100% безопасно. Site Check проводит исключительно неразрушающий аудит (Non-Destructive White-Hat Audit). Мы не применяем подбор паролей (брутфорс), не отправляем деструктивные эксплойты, не создаем паразитной нагрузки на сервер (DDoS) и не внедряем вредоносный код. Все запросы соответствуют бережным стандартам работы поисковых роботов, поэтому нагрузка на ваш хостинг сравнима с обычным визитом пользователя.

Инструменты вайб-кодинга и ИИ-генераторы оптимизированы для мгновенного прототипирования интерфейсов, но не обладают контекстом безопасности продакшн-инфраструктуры. Нейросети часто встраивают приватные секретные ключи (OpenAI, Stripe secret, сервисные токены Supabase) прямо в клиентские React/Next.js компоненты, где их может извлечь любой посетитель через панель разработчика. Кроме того, в базах данных Supabase и Firebase по умолчанию отключены политики разграничения прав Row Level Security (RLS), позволяя выгрузить всю базу клиентов без авторизации.

Сканер проверяет цифровой периметр по 36 ключевым проверкам стандартов OWASP Top 10 и CWE: 1) Утечки файлов конфигурации и секретов (.env, .git, API-ключи во фронтенде, source maps, дампы баз данных); 2) Публично доступные панели управления (Adminer, Grafana, Swagger UI, GraphQL introspection, Spring Boot Actuator); 3) Открытые наружу порты СУБД (PostgreSQL 5432, MongoDB 27017, Redis 6379, Elasticsearch) и публичные бакеты S3; 4) Отсутствующие HTTP-заголовки защиты (CSP, HSTS, X-Frame-Options, CORS, небезопасные Cookie); 5) Маркеры инъекций и веб-угроз (SQLi, XSS, CSRF, SSRF, Path Traversal); 6) Векторы компрометации WordPress (REST API user enumeration, XML-RPC, публичный debug.log).

Тяжелые корпоративные пентест-комплексы стоят тысячи долларов в год, требуют штатного специалиста по ИБ и могут нарушить работу боевой базы данных агрессивным фаззингом. Site Check создан специально для фаундеров, разработчиков и современных инженерных команд: он проверяет реальные векторы современных атак, отсеивает ложный шум и выдает понятные инструкции с готовым кодом для исправления.

Каждая обнаруженная уязвимость сопровождается точным техническим рецептом: готовой директивой для веб-сервера Nginx/Apache, флагом конфигурации сборщика Vite/Next.js или SQL-правилом RLS для базы данных. Вы можете скопировать рекомендацию из нашего отчета и вставить в Cursor или ChatGPT с запросом: «Исправь эту уязвимость в моем проекте» — ИИ сразу применит правильный патч без нарушения существующей бизнес-логики.

Да. Site Check осуществляет комплексную проверку домена по международным базам угроз (Google Safe Browsing, списки фишинговых сайтов, спам-реестры Spamhaus). Кроме того, наш движок анализирует заголовки ответов при различных User-Agent, выявляя скрытый мобильный клоакинг, когда владельцу сайта показывается нормальный контент, а посетителям со смартфонов — скрытые редиректы на мошеннические ресурсы.

Многие разработчики развертывают базы данных на облачных VPS с привязкой к адресу 0.0.0.0 вместо локального 127.0.0.1. Наш сканер проводит безопасный опрос стандартных портов базы данных (5432, 27017, 6379, 9200) без отправки разрушительных команд, фиксируя факт публичной доступности порта до того, как его атакуют автоматизированные ботнеты-вымогатели.

Site Check оценивает благонадежность веб-ресурса по совокупности параметров: возраст регистрации домена по WHOIS (мошеннические сайты редко живут дольше 30 дней), валидность цепочки SSL/TLS-сертификата, безопасность используемых платежных шлюзов (стандарты PCI-DSS), наличие защитных почтовых записей SPF/DKIM/DMARC и присутствие в глобальных базах доверия.

В WordPress протокол xmlrpc.php позволяет злоумышленникам проверять тысячи паролей за один HTTP-запрос методом multicall, а эндпоинт /wp-json/wp/v2/users отдает список логинов авторов и администраторов в JSON. Злоумышленникам остается лишь брутфорсить пароль к уже известному логину. Site Check выявляет эти бреши и предоставляет готовые правила для их закрытия в Nginx за 1 минуту.

Заголовки безопасности — это бесплатный рубеж защиты с нулевыми затратами ресурсов. Content-Security-Policy (CSP) блокирует исполнение внедренных XSS-скриптов, HSTS принудительно запрещает работу по незащищенному HTTP, а X-Content-Type-Options блокирует опасную подмену MIME-типов. Наш аудит детально проверяет конфигурацию заголовков веб-сервера.

Если ваша компания ранее использовала облачный сервис (например, GitHub Pages, Vercel, S3) на поддомене promo.your-site.com, а затем удалила ресурс, забыв удалить CNAME-запись в DNS, любой злоумышленник может зарегистрировать освободившееся имя в облаке и опубликовать фишинговую страницу на вашем доверенном официальном домене. Сканер проверяет DNS-записи на предмет висячих ссылок.

Никаких паролей, SSH-ключей или API-доступов передавать не требуется. Сканирование осуществляется исключительно по внешнему публичному адресу сайта снаружи (Black-Box аудит), моделируя действия реального внешнего злоумышленника. Регистрация также не требуется.

Безусловно. Мы строго придерживаемся принципов ответственного раскрытия уязвимостей (Responsible Disclosure). Результаты аудита предоставляются исключительно заявителю, не индексируются поисковыми системами и не передаются третьим лицам или публичным каталогам.

Вы получаете наглядный интерактивный отчет с категоризацией угроз по уровню критичности (Критический, Высокий, Средний, Низкий). Для каждой найденной проблемы приводится детальное описание, оценка CVSS, стандарт CWE и готовый фрагмент кода для мгновенного исправления.