Як оцінити безпеку вебсайту: безплатні інструменти для перевірки | CyberCalm

Олена КожухарОлена КожухарБагато років присвятила журналістиці. Створюю посібники та рекомендації, ділюся технічними лайфхаками, розробляю інструкції з налаштування та експлуатації пристроїв. 19.07.2026 Поділитися 9 хв. читання

Власники веб-ресурсів часто встановлюють захист на фізичні двері, проте роками не приділяють уваги налаштуванням власного сервера. Водночас кіберзлочинці не дрімають: згідно зі звітом State of WordPress Security in 2026 від Patchstack, у 2025 році тільки в екосистемі WordPress було виявлено 11 334 нові уразливості — це на 42% більше, ніж роком раніше. Найбільш привабливі з них атакують в середньому вже через п’ять годин після офіційного розголошення.

Зміст

• Що таке сканер безпеки вебсайту
• Як перевірити сайт за 30 секунд: сканер CyberPulse
• Альтернатива: Website Security Test від ImmuniWeb
• Як інтерпретувати результати сканування
• Пріоритети виправлень
• Разова перевірка чи безперервний моніторинг
• Часті запитання

Хороша новина полягає в тому, що базову перевірку безпеки веб-ресурсу можна здійснити безкоштовно, не реєструючись та не маючи спеціальних технічних знань — всього за 30 секунд. Розповімо про інструменти, які для цього існують, та як їхні результати слід розуміти.

Що таке сканер безпеки вебсайту

Сканер безпеки — це онлайн-сервіс, який здійснює аналіз веб-ресурсу ззовні, тобто так, як його бачить будь-який відвідувач або потенційний зловмисник. На відміну від антивірусу, що виявляє шкідливий код у файлах, сканер перевіряє конфігураційні параметри: наявність та коректність SSL/TLS-сертифіката, HTTP-заголовки безпеки, версію протоколу шифрування, а також надмірне розкриття технічної інформації про сервер.

Це схоже на технічний огляд транспортного засобу: їздити без нього можна роками, але одного дня несправні гальмівні системи можуть проявитися в найкритичніший момент. Це особливо актуально для сайтів на WordPress: згідно з даними W3Techs, ця CMS використовується 41,5% усіх веб-ресурсів в інтернеті, що робить її головною ціллю для автоматизованих атак. Боти не розрізняють масштаб сайту, вони сканують все підряд і атакують будь-що незахищене.

Важливо також усвідомлювати обмеження: сканер не здійснює спроб зламати сайт і не імітує атаки. Він аналізує лише загальнодоступну інформацію, тому не може замінити повноцінне тестування на проникнення (пентест) і не виявить помилок у бізнес-логіці вашого коду. Однак саме конфігураційні недоліки є найпоширенішою та найлегшою здобиччю для ботів, тому їх усунення є першочерговим завданням.

Як перевірити сайт за 30 секунд: сканер CyberPulse

Найшвидший підхід — скористатися безкоштовним сканером CyberPulse (це розробка CyberCalm, тому ми можемо мати певну упередженість, але вона виправдана). Він проводить аналіз веб-ресурсу за 13 параметрами безпеки, серед яких: SSL-сертифікат, HTTP-заголовки, версія TLS, атрибути cookie, розкриття серверної інформації та інші ключові аспекти.

1. Перейдіть на сторінку сканера безпеки— реєстрація не є обов’язковою.
2. Введіть адресу веб-ресурсу та ініціюйте перевірку. Процес аналізу триває приблизно 30 секунд.
3. Ознайомтеся зі звітом: для кожної виявленої проблеми сканер надає пояснення суті, значимості та конкретні інструкції щодо усунення.
4. За бажанням, ви можете створити безкоштовний обліковий запис для регулярного моніторингу до п’яти веб-ресурсів.

Альтернатива: Website Security Test від ImmuniWeb

Якщо ви прагнете отримати незалежну оцінку, скористайтеся безкоштовним інструментом Website Security Test від швейцарської компанії ImmuniWeb. Сервіс проводить перевірку веб-сервера на наявність відомих уразливостей, аналізує HTTP-заголовки безпеки та приватності, конфігурацію DNSSEC і Content Security Policy, оцінює відповідність вимогам GDPR і PCI DSS. Останнім часом він також тестує захист від ШІ-ботів, що агрегують контент сайтів для навчання моделей. Сервісом скористалися понад 192 мільйони разів.

За результатами аналізу, веб-ресурс отримує оцінку в діапазоні від A+ до F та детальний звіт, який можна завантажити у форматі PDF — наприклад, для подальшої передачі розробникам або IT-відділу. Важливо зазначити: попри наявність слова «vulnerabilities» у назві модуля, це пасивний аналіз конфігурації, а не активний пошук SQL-ін’єкцій чи XSS шляхом симуляції атак. Безкоштовний тест таких перевірок не виконує.

Обидва сканери чудово доповнюють один одного. Для перевірки веб-ресурсу на шкідливий код та фішинг існують окремі інструменти — про них ми детально розповідали у статті «Як перевірити сайт на віруси, небезпечні програми або фішинг».

Як читати результати сканування

SSL/TLS-сертифікат

Сертифікат забезпечує шифрування даних між браузером відвідувача та сервером. Без нього будь-хто, хто перебуває в тій самій мережі Wi-Fi, може перехопити паролі та дані, введені у формах. Сканер перевіряє не тільки наявність сертифіката, а й його термін дії, коректність ланцюжка довіри, а також наявність перенаправлення з HTTP на HTTPS. Ця перевірка давно перестала бути формальністю: з липня 2018 року Chrome позначає всі HTTP-сайти як «не захищені» безпосередньо в адресному рядку, і відвідувачі бачать це попередження першими.

Версія протоколу TLS

Не всі версії TLS є однаково безпечними. TLS 1.0 та 1.1 мають відомі слабкі місця, і IETF офіційно визнала їх застарілими ще у 2021 році. Якщо сканер показує, що сервер досі підтримує ці версії, зверніться до свого хостинг-провайдера або системного адміністратора з проханням вимкнути їх, залишивши лише TLS 1.2 та 1.3.

HTTP-заголовки безпеки

Це інструкції, які сервер надсилає браузеру відвідувача, повідомляючи про дозволені та заборонені дії. Вони не потребують змін у коді сайту, але суттєво підвищують рівень захисту. Основні з них:

• Content-Security-Policy (CSP)— обмежує джерела, з яких браузер може завантажувати скрипти та стилі. Це головний захист від XSS-атак: без CSP браузер виконає будь-який скрипт, навіть якщо він був доданий сторонніми особами.
• X-Frame-Options— забороняє вбудовувати сайт у сторонні iframe-фрейми, що захищає від клікджекінгу. Це атака, коли користувач думає, що натискає кнопки на вашому сайті, але насправді виконує дії на сторінці зловмисника.
• X-Content-Type-Options— запобігає «вгадуванню» браузером типу файлу, щоб текстовий файл не було випадково виконано як скрипт.
• Referrer-Policy— контролює, яку інформацію про URL-адресу браузер передає під час переходу на інші сайти, запобігаючи «витоку» конфіденційних адрес, таких як /order/12345, на зовнішні сервіси.
• Permissions-Policy— обмежує доступ до камери, мікрофона та геолокації, навіть якщо зловмисний скрипт з’явиться на скомпрометованій сторінці.

Розкриття інформації про сервер

Коли сервер у кожній відповіді передає точну версію свого програмного забезпечення через заголовки Server та X-Powered-By — це як вивісити на вхідних дверях табличку з моделлю замка. Зловмиснику значно легше знайти відому вразливість для конкретної версії. Сканер попередить про надмірне розкриття такої інформації.

Файл security.txt

Це відносно новий стандарт (RFC 9116), який описує, як дослідники безпеки можуть зв’язатися з вами у випадку виявлення вразливості. Файл розміщується за адресою /.well-known/security.txt і містить контактну інформацію. Без нього дослідник, який виявив проблему, може просто не знати, кому про неї повідомити.

Що виправляти першим

1. Критичні проблеми: протермінований SSL-сертифікат, відсутність перенаправлення з HTTP на HTTPS, підтримка TLS 1.0/1.1. Ці питання потребують негайного вирішення.
2. Заголовки безпеки: X-Frame-Options, X-Content-Type-Options та Referrer-Policy додаються кількома рядками конфігурації за лічені хвилини. CSP є більш складним і вимагає тестування, але це також цілком досяжна задача.
3. Інформація про сервер: вимкніть або приховайте заголовки Server та X-Powered-By.
4. Файл security.txt: створення цього файлу займе п’ять хвилин, але в майбутньому може запобігти серйозному інциденту.
5. Повторне сканування: після внесення коригувань проведіть повторну перевірку сайту, щоб переконатися у правильності всіх налаштувань.

Разова перевірка чи постійний моніторинг

Одноразова перевірка веб-ресурсу є корисною, але недостатньою. Сертифікати мають обмежений термін дії, оновлення CMS чи плагінів можуть призвести до зміни конфігурації заголовків, а хостинг-провайдер — до зміни налаштувань сервера. Крім того, не можна повністю покладатися лише на оновлення плагінів: за даними Patchstack, 46% уразливостей, виявлених у 2025 році, на момент публікації не мали виправлення. Постійний моніторинг вирішує цю проблему: сервіс регулярно сканує веб-ресурс і сповіщає про будь-які зміни, завдяки чому ви дізнаєтеся про проблему із сертифікатом за тижні до його завершення, а не від обурених клієнтів.

Поширені запитання

Чи безпечно вводити адресу свого сайту в онлайн-сканер?

Так, безпечно. Сканер аналізує виключно загальнодоступну інформацію, яка доступна будь-якому відвідувачеві чи пошуковому боту. Він не отримує доступу до адміністративної панелі, бази даних або файлів веб-ресурсу.

Чи може безкоштовний сканер замінити пентест?

Ні. Сканер виявляє конфігураційні проблеми — найпоширеніші та найлегші для автоматизованих атак. Помилки бізнес-логіки, вразливості кастомного коду та складні сценарії атак може виявити лише повноцінне тестування на проникнення, яке виконують кваліфіковані фахівці.

Як часто слід перевіряти безпеку сайту?

Мінімальна рекомендована частота — після кожного суттєвого оновлення CMS, плагінів або зміни хостинг-провайдера. Оптимальним варіантом є налаштування автоматичного моніторингу, який регулярно сканує веб-ресурс і самостійно інформує про будь-які зміни.

Мій сайт невеликий. Кому він може бути цікавий?

Автоматизованих ботів не цікавить розмір сайту: вони сканують весь інтернет і атакують будь-що, що виявляється незахищеним. Зламаний «маленький» сайт може бути використаний для розсилання спаму, розміщення фішингових сторінок або здійснення атак на інші ресурси — часто це відбувається без відома власника.

Будь ласка, залиште це поле порожнім

Привіт!
Раді знайомству!

Ми не надсилаємо спам. Детальніше про нашу політику конфіденційності можна дізнатися за посиланням.

Будь ласка, перевірте свою поштову скриньку або папку зі спамом для підтвердження підписки.

ТЕГИ:кібератаки, перевірка сайту Поділитися Facebook Threads Копіювати посилання Друк Попередній матеріал Sandworm застосовує фейкові CAPTCHA проти українців: жертв змушують самостійно інфікувати компʼютери Наступний матеріал 7-Zip 26.02 усуває вразливість віддаленого виконання коду: оновлюватися доведеться вручну

В тренді

Інцидент із некерованою ШІ-моделлю OpenAI виявився серйознішим, ніж вважалося

27.08.2026

Резервне копіювання даних: як зробити правильно і які помилки коштують найдорожче

26.08.2026

Найкращі хмарні сховища у 2026 році: порівняння, ціни та захист даних

26.08.2026

Скільки коштує резервне копіювання у 2026 році: ціни на диски й безкоштовні способи

27.08.2026

Як зменшити залежність від Google: що справді працює у 2026 році

25.08.2026 Приватність

Сексторшн: ФБР попереджає про крадіжку інтимних фото — 6 способів захисту

13.08.2026 Кібербезпека

Сотні повідомлень за хвилину: що таке SMS-бомбінг і як від нього захиститися

13.08.2026 Кібербезпека

Microsoft: російські хакери зламують Wi-Fi у готелях, щоб красти корпоративні паролі

04.08.2026 Кібербезпека

Тенденції кібербезпеки в Європі: статистика Tet за перше півріччя 2026 року

28.07.2026

Джерело