בדיקת אבטחת אתרים
אימות בעלות על האתר (פותח בדיקות פעילות)
התחברו כדי לקבל אסימון אימות ולהריץ בדיקות פעילות על אתרים בבעלותכם.
בדיקת אבטחת אתרים הוא כלי מקוון חינמי שמבצע תוך שניות ביקורת על כל אתר לאיתור בעיות אבטחה נפוצות. הכלי בודק את הגדרות HTTPS ו-TLS, כותרות אבטחת HTTP, מאפייני עוגיות וקבצים רגישים החשופים ברשת. הוא מזהה גם חשיפת גרסאות תוכנה. במצב מתקדם, הכלי מוצא עמודים פרטיים או רגישים שנסרקו על ידי Google. אתה מקבל ציון אבטחה ברור, דירוג באותיות, ורשימת תיקונים מסודרת.
מהי בדיקת אבטחת אתרים?
ביקורת מהירה מנקודת מבט של תוקף
הכלי בודק את אתרך מבחוץ, בדיוק כפי שהיה עושה סורק אוטומטי או תוקף. הוא משתמש אך ורק בשאילתות בטוחות לקריאה בלבד. הוא אינו מתחבר, אינו משנה דבר ואינו מנסה לבצע שום התקפה.
תוך מספר שניות תדע אילו אמצעי אבטחה קיימים, אילו חסרים ואילו לא מוגדרים נכון. כל תוצאה משויכת לקטגוריה ומסודרת לפי חשיבות, כך שתוכל לתקן קודם את הנושאים הקריטיים ביותר.
זהו כלי אידיאלי לבדיקה מהירה לפני פרסום אתר, לביקורת חודשית שגרתית או להערכת אבטחה מיידית של אתר שזה עתה עברת אליו.
מה נבדק
הבדיקה כוללת שישה תחומים: חיבור מוצפן ותעודה, כותרות אבטחת דפדפן ומאפייני עוגיות. היא כוללת גם קבצים גלויים ורשימות תקיות, חיפושי גרסאות תוכנה וחשיפה במנועי חיפוש.
כל בדיקה מחזירה אחד מארבעה מצבים: קריטי, אזהרה, מידע או הצלחה. מוצג הוכחה ותיקון מומלץ.
מדוע לאבטחה יש השפעה על SEO
מנועי חיפוש מעדיפים אתרים המוגשים דרך HTTPS. גרסת טסט דולפת או פאנל ניהול שנסרק במנועי חיפוש עלולים לפגוע במיקום ולחשוף נתונים. אתר מאובטח ומוגדר כראוי שומר על מבקריך וגם על הנראות האורגנית שלך.
תיקון הבעיות המדווחות משפר את אמון המשתמשים ומצמצם תכנים רגישים באינדקס. זה גם מסיר אזהרות דפדפן שמבריחות מבקרים.
היתרונות של שימוש בבדיקת אבטחת אתרים
- קבל ציון אבטחה אחד ברור ודירוג מ-A+ עד F לכל כתובת URL.
- צפה בכותרות אבטחה חסרות או חלשות (CSP, HSTS, X-Content-Type-Options ועוד) מוסברות בשפה פשוטה.
- אתר קבצים חשופים כמו .env, .git, גיבויים ודאמפים של SQL, לפני שמישהו אחר עושה זאת.
- אתר רישומי תקיות פתוחים וכותרות שרת מפורטות מדי שמסייעות לתוקפים.
- בדוק את תוקף תעודת TLS, תאריך התפוגה והאם פרוטוקולים מיושנים עדיין מופעלים.
- במצב מתקדם, חפש בגוגל תכנים רגישים שלעולם לא אמורים להיות באינדקס.
- קבל פתרון ברור ומוכן ליישום לכל בעיה – בלי צורך להכיר ז'רגון אבטחת מידע.
הפיצ'רים המרכזיים
- יותר מעשרים בדיקות בודדות בשש קטגוריות אבטחה.
- ניקוד מבוסס על חומרת הבעיות – כך שתמיד תדע מה לתקן קודם.
- זיהוי הפניה ל-HTTPS, כותרת HSTS ותכנים מעורבים.
- הערכת כותרות אבטחה מלאה לפי הנחיות OWASP העדכניות.
- בדיקת מאפיינים לעוגיות Secure, HttpOnly ו-SameSite.
- בדיקת קבצים גלויים ורישומי תקיות רק באמצעות שאילתות בטוחות.
- סריקת חשיפה בגוגל אופציונלית, ופרוקסי פרימיום בתכניות בתשלום.
- המלצות לתיקון בכל בדיקה, מוכנות להעברה למתכנת.
- אימות דוא"ל והקשחת DNS: רשומות SPF, DMARC ו-CAA וסקירה של מדיניות CORS.
- DNSSEC, שלמות משאבים חיצוניים (Subresource Integrity) לסקריפטים חיצוניים, וזיהוי סקרייפינג/WAF.
- בדיקות תאימות תקנות GDPR ו-PCI DSS באופן מדגמי על בסיס הנראה ברשת בלבד – אינן תחליף לבדיקה חוקית מלאה או PCI.
- השוואת Googlebot לעומת דפדפן רגיל לאיתור Cloaking – משווה סטטוס HTTP, הפניות, סימני SEO ואחוז שינויים בתוכן, כהשלמה לכלי HTTP Request.
השוואה של בדיקת אבטחת אתרים מול כלים אחרים
| פונקציונליות | DiagnoSEO | כלים אחרים |
|---|---|---|
| ציון אחיד לכותרות, TLS, עוגיות וחשיפות | ✅ | ❌ |
| דירוג כותרות אבטחה (בדומה ל-SecurityHeaders.com או Mozilla Observatory) | ✅ | ✅ |
| סיכום תעודה ופרוטוקולים של TLS (בדומה ל-Qualys SSL Labs) | ✅ | ✅ |
| גילוי קבצים חשופים .env / .git / גיבויים | ✅ | ❌ |
| זיהוי עמודים רגישים שנסרקו על ידי Google | ✅ | ❌ |
| הסברים פשוטים לפתרון בכל תוצאה | ✅ | ❌ |
| אין צורך לחשבון לסריקה בסיסית | ✅ | ✅ |
| חלק מחבילת כלים SEO מלאה, לצד ביקורת וכלי SERP | ✅ | ❌ |
מה כלול בגרסה החינמית ומה יש ב-Pro
סריקה פסיבית חינמית לכל כתובת ואינה דורשת חשבון. בדיקות אקטיביות המאתרות את השרת שלך זמינות רק אחרי אימות בעלות על האתר (או הרשאה ל-DiagnoSEO ב-robots.txt). תכנית Advanced (Pro) מוסיפה פיצ'רים מתקדמים.
| אפשרות | Free | בעלים מאומת | Advanced (Pro) |
|---|---|---|---|
| כותרות אבטחה, HTTPS/TLS, עוגיות, חשיפת גרסאות | ✅ | ✅ | ✅ |
| נוכחות robots.txt / security.txt | ✅ | ✅ | ✅ |
| תכנים רגישים באינדקס Google | ❌ | ❌ | ✅ |
| קבצים חשופים .env / .git / גיבויים | ❌ | ✅ (עומק בסיסי) | ✅ (בעומק מתקדם) |
| איתור רישומי תקיות | ❌ | ✅ | ✅ |
| איתור משתמשי CMS | ❌ | ❌ | ✅ |
| פרוקסי פרימיום (עקיפת WAF/חסימות גיאוגרפיות) | ❌ | ❌ | ✅ |
איך משתמשים בכלי בדיקת אבטחת אתרים
- גש לכלי בדיקת אבטחת אתרים בלוח הכלים.
- בשדה כתובת האתר, הזן כתובת מלאה לבדיקה לדוגמה https://example.com.
- אם יש לך תכנית בתשלום, פתח הגדרות מתקדמות כדי לאפשר פרוקסי פרימיום או סריקת חשיפה בגוגל.
- לחץ על הכפתור סרוק אתר והמתן כמה שניות לדוח.
- קרא את הציון הכללי והדירוג שבראש הדוח.
- עבור על הקטגוריות, התחל בכל תוצאה קריטית.
- הרחב כל בעיה להצגת ההוכחה והפתרון המומלץ.
- יישם את התיקונים בשרת או במערכת ה-CMS, והרץ שוב את הסריקה לאימות.
מקרה בוחן
נקודת התחלה
דמיין שרכשת חנות אינטרנטית בינונית, ואתה רוצה להעריך במהירות את אבטחתה לפני תכנון עבודות המשך.
אתה פותח את הכלי, מדביק את כתובת דף הבית של החנות ולוחץ סרוק אתר.
בתוך שניות תראה דירוג כללי C ושלוש בעיות קריטיות המסומנות באדום.
קריאת הדוח
הבעיה הקריטית הראשונה היא קובץ .env גלוי עם פרטי הגישה למסד הנתונים. השנייה – אין הפניה מ-HTTP ל-HTTPS. השלישית – קישור לא תקף בשרשרת התעודה.
קטגוריית כותרות האבטחה מציגה שגם Content-Security-Policy ו-HSTS חסרים, כולל הסבר קצר לסיכון.
פתרון הבעיות
בהתאם להמלצות, אתה חוסם גישה ציבורית לקובץ .env. אתה מגדיר הפניית 301 ל-HTTPS. אתה מחדש את התעודה עם חידוש אוטומטי מופעל.
לאחר מכן, תוסיף כותרות Content-Security-Policy ו-HSTS לטווח ארוך, בדיוק כמצוין בדוח.
התוצאה
אתה מפעיל שוב את הסריקה. הבעיות הקריטיות נעלמות, קטגוריית הכותרות הופכת ירוקה, והציון הכללי קופץ ל-A.
החנות בטוחה יותר ללקוחות, נטולת אזהרות דפדפן ובנראות גבוהה הרבה יותר במנועי חיפוש.
שאלות נפוצות
-
כן. הכלי שולח רק שאילתות בטוחות לקריאה בלבד לכתובות פומביות. הוא אף פעם לא מתחבר, לא משנה נתונים, ולא מנסה התקפה כלשהי.
-
לא. הסריקה הבסיסית זמינה ללא חשבון. תכנית בתשלום פותחת אפשרויות מתקדמות כמו פרוקסי פרימיום וסריקה לגילוי חשיפה בגוגל.
-
הציון מסכם את כל הבדיקות בסקאלה של 0-100, משוקלל לפי חומרת הבעיות, ומעניק דירוג באותיות מ-A+ עד F. ככל שהציון גבוה יותר – כך עדיף.
-
במצב מתקדם הכלי מפעיל שאילתות חיפוש ממוקדות על הדומיין ומאתר פאנלים אדמיניסטרטיביים, רישומים וקבצים שלא אמורים להיות ציבוריים.
-
לא. זהו ביקורת מהירה של קונפיגורציית אבטחה לבעיות נפוצות. בדיקת חדירות מקצועית מעמיקה בהרבה, ועדיין דרושה למערכות קריטיות.