Svetainės nibd.lt saugumo patikra

HTTP → HTTPS nukreipimas

HTTP užklausa nukreipiama į HTTPS (301)

TLS sertifikatas

Galioja dar 46 d.

Išdavėjas: Let's Encrypt

Strict-Transport-Security (HSTS)

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė kiekvieną kartą iš naujo nusprendžia, ar naudoti HTTPS. Vadinamoji 'downgrade' ataka leidžia užpuolikaui priversti naršyklę prisijungti per nesaugų HTTP net jei svetainė veikia per HTTPS, ir perimti visus perduodamus duomenis.

Rekomendacija: Pridėti HSTS antraštę: Strict-Transport-Security: max-age=31536000; includeSubDomains

X-Content-Type-Options

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė gali bandyti atspėti failo tipą ir interpretuoti tekstinį failą kaip HTML ar JavaScript. Tai leidžia kai kuriais atvejais vykdyti kenkėjišką kodą, įkeltą kaip paprastas failas.

Rekomendacija: Pridėti X-Content-Type-Options: nosniff

X-Frame-Options (Clickjacking)

Antraštė nenustatyta

Kas gresia:Jūsų svetainę galima įkelti į iframe kitoje svetainėje. Tai naudojama clickjacking atakoms: lankytojas mato vieną turinį, bet faktiškai spaudžia paslėptus jūsų svetainės mygtukus, pvz. Patvirtinti mokėjimą ar Pakeisti slaptažodį.

Rekomendacija: Pridėti X-Frame-Options: SAMEORIGIN

Referrer-Policy

Antraštė nenustatyta

Kas gresia:Paspaudus nuorodą iš jūsų svetainės, naršyklė gali perduoti pilną URL (su parametrais) kitam puslapiui. Tai gali atskleisti jautrią informaciją: paieškos užklausas, vartotojo ID ar sesijų žetonus URL eilutėje.

Rekomendacija: Pridėti Referrer-Policy: strict-origin-when-cross-origin

Content-Security-Policy (CSP)

Nustatyta

upgrade-insecure-requests

X-Powered-By atskleidžia technologiją

X-Powered-By: PHP/8.4.27

Rekomendacija: Išjungti expose_php = Off php.ini ar pašalinti antraštę web serveryje

Server header

Versija nerodoma (hcdn)

PHP versija: 8.4.27

PHP 8.4.27, palaikoma versija

WordPress REST API viešai prieinamas

/wp-json/ atsako HTTP 200, REST API atviras viešai

Rekomendacija: Apriboti REST API prieigą: add_filter('rest_authentication_errors', ...) arba naudoti saugumo pluginą

CMS aptikta, WordPress

WordPress, versija nematoma viešai (gerai)

WordPress vartotojo vardas atskleidžiamas

/?author=1 nukreipia į /author/neimtigmail-com/, vartotojo vardas matomas

Rekomendacija: Blokuoti /?author= užklausas .htaccess: RedirectMatch 403 ^/\?author=\d

WordPress vartotojų sąrašas per REST API

/wp-json/wp/v2/users grąžina 7 vartotoją(-ų), vieši vardai/ID

Rekomendacija: Išjungti vartotojų endpoint: add_filter('rest_endpoints', fn($e) => (unset($e['/wp/v2/users'], $e['/wp/v2/users/(?P<id>[\d]+)']), $e))

Jautrūs keliai (.git, .env, backup failai)

Patikrinti 10 keliai, viešai prieinamų nerasta

DMARC įrašas

Politika: p=none

v=DMARC1; p=none

Rekomendacija: Sustiprinti politiką iki p=quarantine ar p=reject

Pašto serverio prisistatymas (HELO)

Serveris prisistato techniniu vardu „esmtp“

Kas gresia:Toks vardas (pvz., .local, vps123, localhost) yra vienas iš požymių, pagal kuriuos Spamhaus CSS įtraukia IP adresus į sąrašą.

Rekomendacija: Nustatyti serverio pašto vardą (pvz., mail.jusudomenas.lt), kuris atitinka jo IP adresą ir atvirkštinį DNS įrašą

Rizika būti užblokuotam dėl šlamšto

Pašto serveris sukonfigūruotas taip, kaip būdinga serveriams, kurie patenka į Spamhaus CSS sąrašą

Kas gresia:Iš išorės negalima pamatyti, ar dėžutės persiunčia laiškus į Gmail. Bet techninis prisistatymo vardas ar nesutampantys DNS įrašai rodo, kad serverį sukonfigūravo skydelis „kad veiktų“, o persiuntimas tokiuose serveriuose įjungtas dažnai.

Rekomendacija: Prieglobos skydelyje patikrinti, ar info@ ir kitos dėžutės nepersiunčia laiškų į išorinius adresus; vietoj persiuntimo pridėti dėžutę prie pašto programos (Gmail programa telefone, Apple Mail, Outlook) per IMAP. Žr. aguard.lt/straipsniai/pasto-persiuntimas-i-gmail-kaip-imone-tampa-slamsto-siunteja

Pašto serveris (MX)

mx1.hostinger.lt (172.65.182.103)

DKIM parašas

DKIM įrašo su įprastais selektoriais nerasta (gali būti naudojamas kitas selektorius)

Rekomendacija: Įsitikinti, kad pašto serveris pasirašo laiškus DKIM parašu; be jo Gmail ir Outlook laiškus dažniau atmeta

SPF įrašas

SPF įrašas randamas (~all)

v=spf1 include:_spf.mail.hostinger.com ~all

Pašto serverio IP blokavimo sąrašuose

172.65.182.103: Spamhaus ZEN sąraše nerastas

Atgalinio šlamšto (backscatter) sąrašas

172.65.182.103: Backscatterer.org sąraše nerastas

Domeno blokavimo patikrinimas

Spamhaus DBL: domenas blokavimo sąraše nerastas

IP adreso blokavimo patikrinimas

93.127.179.208, Spamhaus ZEN sąraše nerastas

Pagrindinis puslapis pasiekiamas

HTTP 200