Svetainės srvapi.norfa.lt saugumo patikra

HTTP → HTTPS nukreipimas

HTTP užklausa nepriverstinai nukreipiama į HTTPS

Kas gresia:Tai reiškia, kad lankytojai gali atidaryti svetainę be šifravimo. Toje pačioje Wi-Fi ar tinkle esantis užpuolikas gali matyti perduodamus duomenis: kontaktų formų turinį, prisijungimo informaciją, krepšelio duomenis. Naršyklės tokias svetaines žymi kaip nesaugias.

HTTP atsako kodas: 500

Rekomendacija: Serveryje sukonfigūruoti 301 nukreipimą iš HTTP į HTTPS (visoms užklausoms)

TLS sertifikatas

Galioja dar 62 d.

Išdavėjas: Let's Encrypt

Strict-Transport-Security (HSTS)

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė kiekvieną kartą iš naujo nusprendžia, ar naudoti HTTPS. Vadinamoji 'downgrade' ataka leidžia užpuolikaui priversti naršyklę prisijungti per nesaugų HTTP net jei svetainė veikia per HTTPS, ir perimti visus perduodamus duomenis.

Rekomendacija: Pridėti HSTS antraštę: Strict-Transport-Security: max-age=31536000; includeSubDomains

Content-Security-Policy (CSP)

Antraštė nenustatyta

Kas gresia:Be šios politikos naršyklė vykdys visus skriptus, nepriklausomai nuo šaltinio. XSS atakos metu užpuolikas gali vykdyti savo kodą lankytojo naršyklėje: vogti sesijų slapukus, šnipinėti klaviatūros paspaudimus, rodyti netikras mokėjimo formas.

Rekomendacija: Įdiegti Content-Security-Policy, bent minimali politika: default-src 'self'

X-Content-Type-Options

Antraštė nenustatyta

Kas gresia:Be šios antraštės naršyklė gali bandyti atspėti failo tipą ir interpretuoti tekstinį failą kaip HTML ar JavaScript. Tai leidžia kai kuriais atvejais vykdyti kenkėjišką kodą, įkeltą kaip paprastas failas.

Rekomendacija: Pridėti X-Content-Type-Options: nosniff

X-Frame-Options (Clickjacking)

Antraštė nenustatyta

Kas gresia:Jūsų svetainę galima įkelti į iframe kitoje svetainėje. Tai naudojama clickjacking atakoms: lankytojas mato vieną turinį, bet faktiškai spaudžia paslėptus jūsų svetainės mygtukus, pvz. Patvirtinti mokėjimą ar Pakeisti slaptažodį.

Rekomendacija: Pridėti X-Frame-Options: SAMEORIGIN

Referrer-Policy

Antraštė nenustatyta

Kas gresia:Paspaudus nuorodą iš jūsų svetainės, naršyklė gali perduoti pilną URL (su parametrais) kitam puslapiui. Tai gali atskleisti jautrią informaciją: paieškos užklausas, vartotojo ID ar sesijų žetonus URL eilutėje.

Rekomendacija: Pridėti Referrer-Policy: strict-origin-when-cross-origin

PHP versija: 5.6.40

PHP 5.6 nebepalaikomas (security patches baigti). Atnaujinkite į 8.3 ar 8.4.

Rekomendacija: PHP atnaujinimas pas hostingo tiekėją yra kritinis žingsnis

Server header atskleidžia versiją

Server: Apache/2.4.6

Rekomendacija: Konfigūruoti serverį, kad nebūtų rodoma versija (ServerTokens Prod / server_tokens off)

X-Powered-By atskleidžia technologiją

X-Powered-By: PHP/5.6.40

Rekomendacija: Išjungti expose_php = Off php.ini ar pašalinti antraštę web serveryje

CMS aptikimas

Nerasta aiškių CMS žymeklių

Jautrūs keliai (.git, .env, backup failai)

Patikrinti 10 keliai, viešai prieinamų nerasta

SPF įrašas

Negalima patikrinti DNS

DMARC įrašas

Negalima patikrinti DNS

Pašto serveris (MX)

Domenas neturi MX įrašų: el. laiškų šiuo domenu nepriima

Domeno blokavimo patikrinimas

Spamhaus DBL: domenas blokavimo sąraše nerastas

IP adreso blokavimo patikrinimas

195.181.246.84, Spamhaus ZEN sąraše nerastas

Pagrindinis puslapis pasiekiamas

HTTP 500