מה המשמעות של ציוני אבטחת אתרים מ־A עד F
בקצרה: כל אתר מתחיל ב־100 נקודות. כל בעיה שנמצאת מורידה נקודות לפי החומרה (קריטית 40, גבוהה 20, בינונית 8, נמוכה 3), עם תקרה לכל קטגוריה. 90 ומעלה זה A, 75 ומעלה B, 60 ומעלה C, 40 ומעלה D, ומתחת ל־40 F. כל בעיה בסיכון גבוה מגבילה את הציון ל־B, בעיה קריטית אחת מגבילה אותו ל־D, ושתי בעיות קריטיות או יותר פירושן F.
הדרגות
| ציון | ניקוד | מה זה בדרך כלל אומר |
|---|---|---|
| A | 90–100 | היסודות במקום. נשארו רק חיזוקים קטנים. |
| B | 75–89 | מצב טוב, עם כמה הגנות חסרות, או בעיה אחת בסיכון גבוה לתיקון. |
| C | 60–74 | כמה פערים שתוקפים מחפשים לעתים קרובות. |
| D | 40–59 | פערים רציניים, או בעיה קריטית כמו תעודה לא תקפה או שפקעה. |
| F | 0–39 | לתקן עכשיו: כמה בעיות קריטיות או הרבה בעיות בסיכון גבוה. |
איך יורדות הנקודות
- קריטית: 40 נקודות. דוגמה: תעודה שפקעה או שאינה מהימנה.
- גבוהה: 20 נקודות. דוגמאות: גרסת TLS מיושנת (1.0/1.1), תעודה שפוקעת בתוך 14 יום, גרסת PHP שכבר לא מקבלת עדכוני אבטחה.
- בינונית: 8 נקודות. דוגמאות: אין HSTS, אין Content-Security-Policy, אין הגנה מפני clickjacking, אין רשומת SPF או DMARC.
- נמוכה: 3 נקודות. דוגמאות: אין Referrer-Policy, אין Permissions-Policy, מספרי גרסה של השרת או של PHP גלויים.
- מידע: 0 נקודות. מוצג להקשר בלבד.
לכל קטגוריה (למשל כותרות, TLS, דוא״ל, וורדפרס) יש תקרת הפחתה, כך שהרבה בעיות קטנות בכותרות לא יכולות להפיל את הציון לבדן. התקרה של קטגוריית הכותרות היא 24 נקודות.
תקרות הבטיחות
ניקוד לבדו יכול להסתיר בעיה מסוכנת אחת, ולכן אחרי החישוב חלים שלושה כללים:
- כל בעיה גבוהה: הציון לכל היותר B.
- בעיה קריטית אחת: הציון לכל היותר D.
- שתי בעיות קריטיות או יותר: הציון F.
שתי דוגמאות
- חסר CSP (8) + חסר HSTS (8) + חסר Referrer-Policy (3) = 19 נקודות. 100 − 19 = 81, כלומר B.
- תעודה שפקעה (40) = 60 נקודות, שזה היה C, אבל תקרת הבעיה הקריטית מורידה אותו ל־D.
איך משפרים את הציון הכי מהר
- תקנו קודם כל כל דבר קריטי (תעודות, קבצים חשופים).
- טפלו בכל בעיה גבוהה, כי אפילו אחת לבדה משאירה אתכם על B.
- הוסיפו את הכותרות החסרות: שורות להעתקה לשרת שלכם (באנגלית).
- הוסיפו SPF ו־DMARC: רשומות ל־Google Workspace ול־Microsoft 365 (באנגלית).
- סרקו שוב כדי לוודא.
ציון חינמי מול סריקה מעמיקה
הציון החינמי מבוסס על בדיקות פסיביות בלבד. סריקה מעמיקה (לבעלים מאומתים, בהסכמה) מריצה יותר בדיקות, ולכן היא יכולה למצוא בעיות שהציון החינמי לא רואה, והציון יכול גם לרדת וגם לעלות.
שאלות נפוצות
האם ציון A זה אותו דבר כמו להיות מאובטחים?
לא. A אומר שהבעיות שנראות מבחוץ במצב טוב. הוא לא רואה את הקבצים בשרת, את הסיסמאות או את הגיבויים.
למה הציון שלי מוגבל ל־B כשהניקוד מעל 90?
כי יש לפחות בעיה אחת בסיכון גבוה. תקנו אותה והתקרה תוסר.
למה הציון השתנה בלי ששיניתי כלום?
תעודות מתקרבות לפקיעה, פגיעויות חדשות מתפרסמות לתוכנה שאתם מריצים, וספק האחסון או ה־CDN יכולים לשנות כותרות.
האם כלי דירוג אבטחה אחרים משתמשים באותו סולם?
לא. כל כלי שוקל בעיות אחרת, ולכן אי אפשר להשוות ישירות ציונים מכלים שונים. הדף הזה מתאר רק את הסולם של HackGrade.