Svetainės kmintys.lt saugumo patikra

HTTP → HTTPS nukreipimas

HTTP užklausa nukreipiama į HTTPS (301)

TLS sertifikatas

Galioja dar 52 d.

Išdavėjas: Google Trust Services

Strict-Transport-Security (HSTS)

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė kiekvieną kartą iš naujo nusprendžia, ar naudoti HTTPS. Vadinamoji 'downgrade' ataka leidžia užpuolikaui priversti naršyklę prisijungti per nesaugų HTTP net jei svetainė veikia per HTTPS, ir perimti visus perduodamus duomenis.

Rekomendacija: Pridėti HSTS antraštę: Strict-Transport-Security: max-age=31536000; includeSubDomains

Content-Security-Policy (CSP)

Antraštė nenustatyta

Kas gresia:Be šios politikos naršyklė vykdys visus skriptus, nepriklausomai nuo šaltinio. XSS atakos metu užpuolikas gali vykdyti savo kodą lankytojo naršyklėje: vogti sesijų slapukus, šnipinėti klaviatūros paspaudimus, rodyti netikras mokėjimo formas.

Rekomendacija: Įdiegti Content-Security-Policy, bent minimali politika: default-src 'self'

X-Content-Type-Options

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė gali bandyti atspėti failo tipą ir interpretuoti tekstinį failą kaip HTML ar JavaScript. Tai leidžia kai kuriais atvejais vykdyti kenkėjišką kodą, įkeltą kaip paprastas failas.

Rekomendacija: Pridėti X-Content-Type-Options: nosniff

X-Frame-Options (Clickjacking)

Antraštė nenustatyta

Kas gresia:Jūsų svetainę galima įkelti į iframe kitoje svetainėje. Tai naudojama clickjacking atakoms: lankytojas mato vieną turinį, bet faktiškai spaudžia paslėptus jūsų svetainės mygtukus, pvz. Patvirtinti mokėjimą ar Pakeisti slaptažodį.

Rekomendacija: Pridėti X-Frame-Options: SAMEORIGIN

Referrer-Policy

Nustatyta

no-referrer-when-downgrade

Server header

Versija nerodoma (cloudflare)

CMS aptikta, WordPress 5.9.2 (PASENUSI)

Naudojate WordPress 5.9.2. Naujausia stabili: 6.7. Ši versija turi 10+ žinomų saugumo pažeidžiamumų (CVE). BŪTINAS atnaujinimas.

Kas gresia:Kiekvienas iš 10+ žinomų pažeidžiamumų yra viešai aprašytas. Automatizuoti įrankiai nuolat tikrina svetaines ir išnaudoja žinomas spragas, paprastai per kelias minutes po aptikimo. Tai reiškia, kad svetainė bet kada gali būti užkrėsta kenkėjišku kodu, peradresuoti lankytojai ar pavogti duomenys.

Rekomendacija: Atnaujinti į WordPress 6.7. Prieš atnaujinimą, visada padarykite atsarginę kopiją.

WordPress REST API viešai prieinamas

/wp-json/ atsako HTTP 200, REST API atviras viešai

Rekomendacija: Apriboti REST API prieigą: add_filter('rest_authentication_errors', ...) arba naudoti saugumo pluginą

WordPress vartotojų sąrašas per REST API

/wp-json/wp/v2/users grąžina 4 vartotoją(-ų), vieši vardai/ID

Rekomendacija: Išjungti vartotojų endpoint: add_filter('rest_endpoints', fn($e) => (unset($e['/wp/v2/users'], $e['/wp/v2/users/(?P<id>[\d]+)']), $e))

Jautrūs keliai (.git, .env, backup failai)

Patikrinti 10 keliai, viešai prieinamų nerasta

SPF įrašas

SPF įraše nėra „all“ mechanizmo

v=spf1 a mx ptr redirect=spf.serveriai.lt

Rekomendacija: Užbaigti įrašą „-all“ arba „~all“, kad svetimi serveriai negalėtų siųsti jūsų vardu

DMARC įrašas

Negalima patikrinti DNS

Pašto serveris (MX)

kmintys.hostingas.lt (212.237.232.91)

DKIM parašas

DKIM įrašo su įprastais selektoriais nerasta (gali būti naudojamas kitas selektorius)

Rekomendacija: Įsitikinti, kad pašto serveris pasirašo laiškus DKIM parašu; be jo Gmail ir Outlook laiškus dažniau atmeta

Pašto serverio IP blokavimo sąrašuose

212.237.232.91: Spamhaus ZEN sąraše nerastas

Atgalinio šlamšto (backscatter) sąrašas

212.237.232.91: Backscatterer.org sąraše nerastas

Pašto serverio prisistatymas (HELO)

Serveris prisistato kaip „kmintys.hostingas.lt“, atvirkštinis įrašas: kmintys.hostingas.lt

Rizika būti užblokuotam dėl šlamšto

Akivaizdžių požymių nerasta

Kas gresia:Persiuntimo į Gmail ar Outlook nustatymų iš išorės patikrinti negalima: pasitikrinkite prieglobos skydelyje, ar kuri nors dėžutė nepersiunčia laiškų į išorę.

Domeno blokavimo patikrinimas

Spamhaus DBL: domenas blokavimo sąraše nerastas

IP adreso blokavimo patikrinimas

172.67.206.95, Spamhaus ZEN sąraše nerastas

Pagrindinis puslapis pasiekiamas

HTTP 200