Kontrola zabezpečení HTTP

Webový server může odpovídat správně a přitom prozrazovat technologie, povolovat nebezpečné vložení obsahu nebo mít cookies bez ochranných příznaků. Kontrola ukáže, co endpoint posílá každému návštěvníkovi.

Šest důvodů zkontrolovat vlastní HTTP vrstvu

Chybějící hlavičky zvětšují prostor pro útok

Content-Security-Policy, HSTS, X-Content-Type-Options a ochrany proti vkládání do rámce neopraví chybnou aplikaci, ale omezí dopad mnoha chyb.

Cookie bez Secure nebo HttpOnly je snazší cíl

Odpověď může odhalit session cookie přes spojení nebo skript, který ji nemá nikdy vidět.

Serverová hlavička prozradí zbytečný detail

Přesná verze frameworku nebo proxy pomůže útočníkovi zúžit volbu exploitů. Ne všechno je třeba zveřejnit.

Přesměrování může snížit bezpečnost

HTTP endpoint, příliš volné přesměrování nebo špatný HSTS stav může klienta poslat na nesprávné místo.

Technologie může mít známé CVE

Detekce verze je signál k ověření, ne automatický důkaz zranitelnosti. Report ukáže, co prozkoumat.

Datovaný výsledek je důkaz nápravy

Report se stavem hlaviček a cookies je důkazní stopa, ne jen snímek z prohlížeče.

Znáte den, kdy se konfigurace změní

Plánované skeny porovnávají odpověď a upozorní na zmizelou hlavičku, nový příznak cookie nebo jinou technologii.

Krok 01 · Pojmenujte URL

Přidejte endpoint, který ovládáte, do účtu AYAsec a prokažte doménu.

Krok 02 · Nechte kontrolu proběhnout

Sken čte veřejnou HTTP odpověď a kontroluje ji bez změny aplikace.

Krok 03 · Přečtěte výsledek

Nálezy přijdou se závažností a známkou A+ až F. Nejprve řešte to, co umožňuje skutečný útok.

Co sken kontroluje

Kontrola čte bezpečnostní hlavičky, cookies, přesměrování, vazbu na TLS, zjištěné technologie a veřejně známá CVE. Spolu s TLS, porty, DNS a důvěryhodností tvoří správu útočné plochy.

Otázky před kontrolou

Co mohu kontrolovat?

Weby a API, které vlastníte nebo máte povolení testovat. Účet ověří doménu před plánovaným skenem.

Je kontrola plnohodnotný pentest?

Ne. Jde o externí kontrolu konfigurace a známých signálů, ne o autentizované testování aplikace.

Proč nález hlavičky není vždy kritický?

Závažnost závisí na kontextu. Hlavička je jedna vrstva obrany a čte se spolu s aplikací.

Jak často skenovat?

Po vydání nebo změně proxy/CDN a pravidelně podle nasazování. Týdenní sken je rozumný základ.

Uchováváte výsledky?

Rychlá kontrola je dočasná; plánované skeny ukážou rozdíl mezi nasazeními.

Uchovávejte historii, nejen výsledek

Spusťte úplný sken vlastních webů podle plánu a dostávejte upozornění při poklesu HTTP známky.

Začít skenovat zdarma Porovnat plány

Další bezplatné skenery pro TLS, porty a DNS

Zobrazit všechny bezplatné bezpečnostní skenery