האתר שלכם מאובטח? גלו תוך שניות.
הדביקו את הכתובת וקבלו ציון אבטחה A–F עם הבעיות החשובות ביותר, מסודרות לפי הסיכון האמיתי. פסיבי וקריאה בלבד: אנחנו בודקים רק את מה שהדפדפן של כל מבקר כבר רואה.
מה הבדיקה החינמית בודקת
- HTTPS ותעודות: הפניה מ-HTTP ל-HTTPS, אמינות התעודה ותוקפה, גרסת TLS, HSTS.
- כותרות אבטחה: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
- עוגיות ותוכנה: עוגיות בלי המאפיינים Secure/HttpOnly/SameSite, גרסאות שרת ו-PHP חשופות, ספריות JavaScript מיושנות, תוכן מעורב.
- וורדפרס: גרסת ליבה גלויה, פרצות ידועות בליבה, בתוספים ובתבניות, רכיבים מיושנים, שמות משתמש חשופים, XML-RPC.
- זיוף אימייל: רשומות SPF ו-DMARC של הדומיין שלכם, וגם קובץ security.txt.
מה תקבלו
- ציון A–F וניקוד 0–100 שאפשר לבדוק מחדש אחרי כל תיקון.
- כל בעיה בשפה פשוטה, מסודרת מקריטית ועד מידע בלבד.
- תיקונים צעד אחר צעד ל-3 הבעיות הראשונות, בחינם. שורות להעתקה ל-nginx, ל-Apache (.htaccess), ל-Cloudflare ולוורדפרס.
- בדיקה חוזרת חודשית לאתר אחד כשאתם פותחים חשבון חינמי.
בדיקות מעמיקות יותר, רק ברשותכם
אחרי שתוכיחו שהדומיין שלכם (רשומת DNS, קובץ או תגית meta) ותיתנו הסכמה מפורשת, התוכניות בתשלום מריצות בדיקות מעמיקות יותר:
- קבצים חשופים כמו
.env,.git, גיבויים, גיבויי מסד נתונים,phpinfoויומני דיבאג. - פרוטוקולים וצפנים של TLS, פורטים פתוחים, רשימות תיקיות, ממשקי ניהול.
- בדיקות הזרקה (SQLi, XSS, SSTI, הפניה פתוחה), ובעיות CORS, CSRF ו-JWT.
- לחנויות: שינוי מחירים בעגלה ובקופה, ניצול לרעה של קופונים, חשיפה לבדיקות כרטיסים גנובים וסימנים לסקימרים (סקריפטים לא מוכרים או ששונו בקופה, טופסי תשלום מזויפים, דומיינים מתחזים).
- קוד מוזרק, כמו דפי CAPTCHA מזויפים / ClickFix וסקריפטים שנטענים מבלוקצ'יין.
מה ששום סורק מרוחק לא רואה
סריקה מרחוק רואה את מה שהאינטרנט רואה: הדפים, הכותרות, התעודות וה-DNS שלכם. היא לא יכולה לקרוא את הקבצים בשרת, את מסד הנתונים או את לוח הבקרה של האחסון, ולכן ציון טוב הוא סימן חזק, לא ערובה. אנחנו אומרים בדיוק מה בדקנו ומה לא, והבדיקות המעמיקות רצות רק אחרי שהוכחתם שהאתר שלכם.
שאלות נפוצות
האם בטוח להריץ את בדיקת האבטחה החינמית?
כן. היא שולחת רק את אותו סוג בקשות שדפדפן של מבקר רגיל שולח: דפים, כותרות, תעודות ורשומות DNS ציבוריות. שום דבר לא מותקף ולא נוסף עומס.
איך מחושב הציון?
לכל ממצא יש רמת חומרה. בעיות קריטיות וגבוהות, כמו היעדר HTTPS או תוסף עם פרצה ידועה, מורידות את הניקוד הרבה יותר מכותרות מומלצות חסרות. הציון באותיות נגזר מהניקוד.
צריך להתקין משהו?
לא. הבדיקה החינמית לא דורשת תוסף או קוד. מוסיפים רשומת DNS, קובץ או תגית meta רק אם רוצים את הבדיקות המעמיקות שמבוססות על הסכמה.
זה עובד גם לאתרים שאינם וורדפרס?
כן. כל אתר מקבל את בדיקות ה-HTTPS, הכותרות, העוגיות, התוכנה והאימייל. אתרי וורדפרס מקבלים בנוסף בדיקות של הליבה, התוספים, התבניות והמשתמשים.
מדריכים עם תיקונים להעתקה
כותרות אבטחה
כותרות אבטחה של HTTP להעתקה ל-nginx, ל-Apache (.htaccess), ל-Cloudflare ולוורדפרס: HSTS, X-Content-Type-Options, הגנה מפני הטמעה במסגרת, Referrer-Policy ו-Permissions-Policy.
מדריךHSTS
מה HSTS עושה, למה להתחיל עם max-age קצר, מתי להשתמש ב-includeSubDomains וב-preload, עם שורות להעתקה ל-nginx, ל-Apache ול-Cloudflare.
מדריךHTTPS ותוכן מעורב
אכפו HTTPS עם הפניית 301 אחת, תקנו אזהרות תוכן מעורב, הימנעו מלולאות הפניה ב-Cloudflare ועדכנו קישורי http:// ישנים בוורדפרס עם WP-CLI.
מדריךSPF, DKIM ו-DMARC
מנעו מנוכלים לשלוח מיילים בשם הדומיין שלכם. רשומות SPF ו-DMARC להעתקה ל-Google Workspace ול-Microsoft 365, ודרך בטוחה מ-p=none ל-p=reject.
מדריךבדיקת אבטחת האתר
דרך חינמית ובטוחה לבדוק את אבטחת האתר: HTTPS, כותרות אבטחה, רשומות דוא״ל, עדכוני וורדפרס וקבצים חשופים, עם הפקודות המדויקות ואיך נראית תוצאה טובה.
מדריךציוני אבטחה A–F
איך מחושב ציון אבטחת האתר A–F של HackGrade: נקודות לפי חומרת הבעיה, תקרה לכל קטגוריה, והכללים שמגבילים את הציון כשיש בעיה קריטית או בסיכון גבוה.
מדריךרשימת אבטחה לעסקים קטנים
רשימת בדיקות מעשית לאבטחת אתרים לעסקים קטנים: HTTPS, עדכונים, גיבויים, אימות דו־שלבי, כותרות אבטחה, רשומות דוא״ל, הגנה על הדומיין וניטור, עם קישורים לתיקונים צעד אחר צעד.
עוד בדיקות חינמיות
גלו את הציון שלכם לפני שמישהו אחר יגלה.
מתחילים בחינם. תוכניות בתשלום מ־12$ לחודש, או דוח חד־פעמי ב־29$. למחירים