איך בודקים את אבטחת האתר בחינם
בקצרה: הריצו סריקה פסיבית חינמית (כמו ציון ה־A–F של HackGrade), ואז אמתו בעצמכם את היסודות: HTTPS עם תעודה תקפה, כותרות האבטחה העיקריות, רשומות SPF ו־DMARC לדומיין הדוא״ל, תוכנה מעודכנת, ושאין קובצי גיבוי או הגדרות שזמינים לכל אחד. את כל זה אפשר לבדוק מבחוץ, בבטחה, בתוך כעשר דקות.
שלבים בקצרה
- הריצו סריקה פסיבית. קבלו ציון כולל ורשימת בעיות מסודרת לפי עדיפות, בלי לתקוף שום דבר.
- בדקו את ה־HTTPS ואת התעודה. ודאו ש־http:// מפנה ל־https:// ושהתעודה תקפה ולא קרובה לפקיעה.
- בדקו את כותרות האבטחה. חפשו את Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options ו־Referrer-Policy.
- בדקו את רשומות הדוא״ל. חפשו את רשומת ה־TXT של SPF בדומיין ואת רשומת ה־TXT של DMARC ב־_dmarc.yourdomain.
- בדקו עדכוני תוכנה. עדכנו את מערכת ניהול התוכן, התוספים והתבניות, והסירו את אלה שאתם לא משתמשים בהם.
- בדקו קבצים חשופים. ודאו שקבצים כמו .env, .git וגיבויים אינם ניתנים להורדה מהאתר שלכם.
הקוד וההגדרות נשארים באנגלית.
1. הריצו סריקה פסיבית
סריקה פסיבית קוראת רק את מה שהדפדפן של כל מבקר כבר רואה: הדפים, כותרות התגובה, התעודה וה־DNS הציבורי. היא לא מתחברת לחשבון, לא שולחת טפסים ולא מנסה תקיפות, ולכן בטוח להריץ אותה על אתר חי. הסריקה החינמית של HackGrade עושה בדיוק את זה, והופכת את התוצאות לציון A–F עם הסבר על שלושת התיקונים הראשונים. איך ציון ה־A–F עובד.
2. בדקו את ה־HTTPS ואת התעודה
הכתובת שלכם ב־HTTP רגיל צריכה לענות בהפניה קבועה (301 או 308) ל־HTTPS:
curl -sI http://yourdomain.com | head -n 3אחר כך קראו את התאריכים ואת המנפיק של התעודה:
openssl s_client -connect yourdomain.com:443 -servername yourdomain.com </dev/null 2>/dev/null \
| openssl x509 -noout -subject -issuer -datesפירוט נוסף במדריך האם תעודת ה־SSL שלי מוגדרת נכון?
3. בדקו את כותרות האבטחה
curl -sI https://yourdomain.com | grep -iE 'strict-transport|content-security|x-frame|x-content-type|referrer-policy|permissions-policy'שורות חסרות פירושן כותרות חסרות. במדריך כותרות האבטחה יש תיקונים להעתקה והדבקה ל־nginx, Apache, Cloudflare ווורדפרס.
4. בדקו את רשומות הדוא״ל (SPF ו־DMARC)
dig +short TXT yourdomain.com | grep -i spf
dig +short TXT _dmarc.yourdomain.comאם אין רשומת SPF או DMARC, כל אחד יכול לשלוח דוא״ל שמתחזה לדומיין שלכם. ראו SPF, DKIM ו־DMARC בשפה פשוטה.
5. בדקו עדכוני תוכנה
בוורדפרס, פתחו את לוח הבקרה ← עדכונים. תוספים לא מעודכנים הם הדרך הנפוצה ביותר שבה פורצים לאתרים קטנים. ראו איך מוצאים תוספים לא מעודכנים עם פגיעויות מוכרות.
6. בדקו קבצים חשופים (רק באתר שלכם)
כל אחד מאלה צריך להחזיר 403 או 404, אף פעם לא 200:
for p in .env .git/HEAD wp-config.php.bak backup.zip; do
printf '%s ' "$p"; curl -s -o /dev/null -w '%{http_code}\n' "https://yourdomain.com/$p"
doneאם משהו מחזיר 200, עקבו אחרי חסימת קובצי .git, .env וגיבויים חשופים והחליפו כל סיסמה או מפתח שהקובץ הכיל.
מה בדיקה חינמית לא יכולה לראות
בדיקה מרחוק רואה את מה שהאינטרנט רואה. היא לא יכולה לקרוא את הקבצים בשרת, את מסד הנתונים או את פאנל האחסון, ולכן ציון טוב הוא סימן חזק, לא הבטחה. בדיקות מעמיקות יותר (קבצים חשופים, בדיקות הזרקה, הלוגיקה של דף התשלום) צריכות לרוץ רק על אתר שבבעלותכם, ברשות. HackGrade מריצה אותן רק אחרי שאימתתם את הדומיין ואישרתם את הסכם הרשאת הסריקה.
שאלות נפוצות
האם מותר לסרוק את האתר שלי?
כן, מותר לבדוק את האתר שלכם. סריקה פסיבית קוראת רק מידע ציבורי, בדיוק כמו דפדפן. בדיקות אקטיביות צריכות לרוץ רק על אתרים שבבעלותכם או שקיבלתם הרשאה לבדוק.
האם סריקת אבטחה תאט או תשבור את האתר?
סריקה פסיבית שולחת מספר קטן של בקשות רגילות, בערך כמו מבקר אחד, ולכן היא לא משפיעה על אתר רגיל.
באיזו תדירות כדאי לבדוק את אבטחת האתר?
אחרי כל שינוי משמעותי (תוסף חדש, תבנית, החלפת אחסון או שינוי DNS) ולפחות פעם בחודש. תעודות פוקעות, ופגיעויות חדשות בתוספים מתפרסמות כל שבוע.
האם ציון טוב אומר שאי אפשר לפרוץ לאתר שלי?
לא. הוא אומר שהבעיות שנראות מבחוץ במצב טוב. המשיכו לעדכן תוכנה, השתמשו בסיסמאות חזקות וייחודיות עם אימות דו־שלבי, ושמרו גיבויים שבדקתם.