| Домен | demo-shop.ru |
| Дата аудита | 14.10.2026 |
| Исполнитель | ООО «Бивайт», ИНН 5404482648 |
| Режим | Пассивный + активный |
| Тариф | Стандарт · 7 198 ₽ (вкл. НДС 22%) |
| Стандарты | 152-ФЗ, Приказ ФСТЭК № 21, OWASP ASVS (базовый) |
| Правовая база | 152-ФЗ, КоАП РФ · редакция на 14.10.2026 |
Оценка защищённости: 62/100 — Средний уровень
По результатам автоматизированного аудита сайта demo-shop.ru выявлено 0 критичных и 3 высоких замечаний.
Рекомендация: закрыть критичные замечания в течение 7 дней. Остальное — по плану из раздела 7.
| Параметр | Значение |
|---|---|
| Тип аудита | Автоматизированный (пассивный + активный read-only) |
| Стандарты | 152-ФЗ, Приказ ФСТЭК № 21, OWASP ASVS (базовый) |
| Методика оценки | Взвешенная доля выполненных проверок (вес проверки × статус: выполнено / частично / не выполнено). Оценка едина для интерфейса сканирования, JSON-выгрузки и настоящего отчёта. Под-оценки раздела 3 (152-ФЗ) и раздела 4 (организационные меры) считаются отдельно и в неё не входят; в тарифе «Расширенный» учитываются также находки DAST (OWASP ZAP), у него в интерфейсе отдельный индикатор. |
| Что проверялось | HTTPS, TLS, заголовки, DNS (SPF/DKIM/DMARC), конфигурация сервера, экспонированные файлы |
| Что не проверялось | Аутентификация, SQL-инъекции, XSS, код приложения |
| Ограничения | Проверки с внешнего IP, без доступа к инфраструктуре |
| Статус | Требование / комментарий | Риск |
|---|---|---|
| Выполнено | Политика обработки ПДн опубликована (ст. 18.1 ч. 2 п. 2 152-ФЗ). Проверено сканом: найдена страница по типовому адресу /privacy. | Нарушений нет |
| Выполнено | По ответам анкеты: согласие на обработку ПДн берётся. Проверено сканом: признаки cookie-баннера на главной странице есть. | Нарушений нет |
| Выполнено | По ответам анкеты: уведомление в РКН об обработке ПДн подано. | Нарушений нет |
| Выполнено | По ответам анкеты: ответственный за обработку ПДн назначен. Сканом не определяется — подтверждается приказом. | Нарушений нет |
| Выполнено | По ответам анкеты: локализация баз данных в РФ заявлена. Сканом не определяется — проверьте, что это касается и облачных сервисов, которыми пользуется сайт. | Нарушений нет |
| Выполнено | Зарубежных счётчиков аналитики на главной странице нет. Проверено сканом: проверены известные сервисы (Google Analytics/GTM, Meta, TikTok, Hotjar, Microsoft Clarity, LinkedIn, X, HubSpot). Признаков трансграничной передачи через счётчики не обнаружено (ст. 12 152-ФЗ). | Нарушений нет |
| Проверить | Счётчики аналитики не найдены, но проверка охватывает только главную страницу и известные сервисы. Формы, зарубежные SaaS, CDN и облачные хостинги вне проверки — если они используются, это трансграничная передача (ст. 12 152-ФЗ) и нужно уведомление РКН. | Требует проверки |
| Проверить | По ответам анкеты: платёжные данные — не храните PAN/CVV у себя, используйте PCI DSS-совместимый шлюз. | Требует проверки |
| Проверить | Технические меры защиты (ст. 19 152-ФЗ) — проверено сканом: выполнено 5 из 17 проверенных мер периметра. Не выполнено: Поддерживаемые TLS-версии, HSTS, Заголовок CSP, Заголовок XFO, Заголовок XCTO, Заголовок Referrer-Policy, Заголовок Permissions-Policy, SPF-запись, CAA-записи, DNSSEC, security.txt (RFC 9116). Разграничение доступа, журналирование, антивирус и резервное копирование сканом не определяется — подтверждаются документами оператора. | Требует проверки |
| Проверить | С 30.05.2025 — обязанность уведомлять РКН об инцидентах с ПДн в течение 24 часов (ст. 21 152-ФЗ). Подготовьте процедуру реагирования: наличие процедуры сканом не проверяется. | Требует проверки |
Оценка соответствия организационным требованиям: 69/100
Проверяются обязательные документы и процедуры оператора персональных данных в соответствии со ст. 18.1 152-ФЗ и Приказом ФСТЭК № 21.
| Документ / мера | Правовое основание | Статус |
|---|---|---|
| Приказ о назначении ответственного за обработку ПДн | Ст. 18.1 ч. 1 п. 1, ст. 22.1 152-ФЗ | ✔ Выполнено |
| Локальные акты (положение об обработке ПДн, инструкции) | Ст. 18.1 ч. 1 п. 2 152-ФЗ | ✔ Выполнено |
| Модель угроз безопасности ПДн | Ст. 19 ч. 1 152-ФЗ, Приказ ФСТЭК № 21 (п. 6) | ✗ Отсутствует |
| Внутренний контроль и (или) аудит соответствия | Ст. 18.1 ч. 1 п. 4 152-ФЗ | ✗ Отсутствует |
| Ознакомление и обучение работников | Ст. 18.1 ч. 1 п. 6 152-ФЗ | ✔ Выполнено |
| Журналы учёта (обращений субъектов, инцидентов, доступов) | Приказ ФСТЭК № 21 (меры учёта) | ✔ Выполнено |
| Договоры поручения на обработку ПДн с подрядчиками | Ст. 6 ч. 3 152-ФЗ | ✔ Выполнено |
| Порядок реагирования на запросы субъектов ПДн | Ст. 14, 20, 21 152-ФЗ | ✗ Отсутствует |
| Порядок уничтожения ПДн (с актами) | Ст. 21 152-ФЗ, Приказ ФСТЭК № 21 | ✔ Выполнено |
| Перечень лиц, имеющих доступ к ПДн | Ст. 18.1 ч. 1 п. 2, Приказ ФСТЭК № 21 | ✔ Выполнено |
Таблица связывает технические находки с нормами 152-ФЗ и возможными последствиями для оператора. Формулировки носят информационный характер, не являются юридической консультацией и не заменяют заключение юриста.
| Что выявлено | Правовая норма | Возможные последствия |
|---|---|---|
| Устаревшие протоколы TLS 1.0 / 1.1 | ст. 19 ч. 1 152-ФЗ, Приказ ФСТЭК № 21 | Устаревшие протоколы шифрования позволяют расшифровать передаваемые ПДн. |
| Не включён HSTS | ст. 19 ч. 1 152-ФЗ | Без принудительного HTTPS возможна подмена соединения (MITM) и кража сессий субъектов ПДн. |
| Нет Content Security Policy (CSP) | ст. 19 ч. 1 152-ФЗ; Приказ ФСТЭК № 21 | Внедрённый скрипт выполняется в браузере посетителя: возможна утечка данных из форм, включая ПДн. |
| Нет X-Frame-Options | ст. 19 ч. 1 152-ФЗ; Приказ ФСТЭК № 21 | Страницу можно встроить в чужой iframe — риск кликджекинга форм, собирающих ПДн. |
| Нет X-Content-Type-Options | ст. 19 ч. 1 152-ФЗ; Приказ ФСТЭК № 21 | Браузер может неверно определить тип контента — риск выполнения постороннего кода на странице с ПДн. |
| Нет Referrer-Policy | ст. 19 ч. 1 152-ФЗ; Приказ ФСТЭК № 21 | Адрес страницы с параметрами может уходить на внешние ресурсы вместе с данными о посетителе. |
| Нет Permissions-Policy | ст. 19 ч. 1 152-ФЗ; Приказ ФСТЭК № 21 | Без ограничений API браузера доступны внедрённому коду (камера, микрофон, геолокация — в том числе ПДн). |
| Нет или слабая запись SPF | ст. 19 ч. 1 152-ФЗ | Домен можно подделать в письмах: фишинг от имени компании и утечка ответов субъектов ПДн. |
| Нет CAA-записей | ст. 19 ч. 1 152-ФЗ | Любой удостоверяющий центр может выпустить сертификат на домен — риск подмены сайта, собирающего ПДн. |
| И ещё 2 замечаний — полный перечень в разделе 8. | ||
Ограничение доступа к сайту со стороны операторов связи возможно, но только по решению суда: механизм введён ФЗ от 21.07.2014 № 242-ФЗ и действует с 01.09.2015. Факт нарушения прав субъектов ПДн должен быть установлен вступившим в законную силу решением суда, после чего Роскомнадзор включает ресурс в АИС «Реестр нарушителей прав субъектов ПДн», а операторы связи ограничивают доступ к нему. Практический смысл для оператора: предписание Роскомнадзора и неисправленные нарушения — основание для иска и последующей блокировки, поэтому устранять нарушения до истечения срока предписания выгоднее, чем ждать суд. Неисполнение предписания в срок наказывается отдельно: ч. 1 ст. 19.5 КоАП РФ — организация от 10 000 до 20 000 ₽, должностное лицо от 1 000 до 2 000 ₽ либо дисквалификация до трёх лет.
Правовое основание: ФЗ от 21.07.2014 № 242-ФЗ (АИС «Реестр нарушителей прав субъектов персональных данных», действует с 01.09.2015); разъяснение Роскомнадзора (pd.rkn.gov.ru, «Реестр нарушителей», ред. от 26.02.2026); ч. 1 ст. 19.5 КоАП РФ.
Ч. 3.1 ст. 21 152-ФЗ устанавливает два срока, считая с момента выявления инцидента: в течение 24 часов — уведомить Роскомнадзор о произошедшем инциденте, предполагаемых причинах и вероятном вреде, принятых мерах и об ответственном за взаимодействие лице; в течение 72 часов — направить результаты внутреннего расследования и сведения о лицах, чьи действия стали причиной инцидента. Само неуведомление — самостоятельное нарушение: ч. 11 ст. 13.11 КоАП РФ — организация от 1 000 000 до 3 000 000 ₽, должностное лицо — от 400 000 до 800 000 ₽. Если инцидент привёл к утечке, применяются ч. 12–18 ст. 13.11 КоАП РФ: от 3 до 15 млн ₽ в зависимости от числа субъектов, 10–15 млн ₽ за специальные категории ПДн, 15–20 млн ₽ за биометрию; повторно — 1–3 % выручки, но не менее 20–25 млн ₽. За незаконные использование, передачу, сбор или хранение персональных данных действует и уголовная ответственность — ст. 272.1 УК РФ (до 4 лет лишения свободы, при трансграничной передаче — до 8 лет, при тяжких последствиях или организованной группой — до 10 лет).
Правовое основание: ч. 3.1 ст. 21 152-ФЗ (ФЗ от 14.07.2022 № 266-ФЗ); ч. 11–18 ст. 13.11 КоАП РФ; ст. 272.1 УК РФ.
Правовая база сверена по официальным текстам (редакция на 14.10.2026): КоАП РФ ред. от 04.08.2026, 152-ФЗ ред. от 26.07.2026. Суммы приведены справочно и не являются расчётом по конкретному делу.
| Проверка | Поддерживаемые TLS-версии |
| Категория | Транспорт и HTTPS |
| Статус | Не выполнено |
TLS — протокол шифрования. Версии 1.0 и 1.1 признаны устаревшими и запрещены с 2021 года (RFC 8996).
Технические детали: Сервер принимает устаревшие протоколы: TLS 1.0, TLS 1.1. TLS 1.0 и 1.1 запрещены с 2021 (RFC 8996), уязвимы к BEAST, POODLE, Sweet32. Поддерживаются также современные: TLS 1.3, TLS 1.2.
Уязвимости BEAST, POODLE, Sweet32 позволяют расшифровать трафик. Платёжные системы и PCI DSS требуют отключения. Ряд банков отказывает в интеграции.
| Проверка | HSTS |
| Категория | Транспорт и HTTPS |
| Статус | Не выполнено |
HSTS (Strict-Transport-Security) — заголовок, который заставляет браузер всегда заходить по HTTPS, даже если пользователь набрал http://.
Технические детали: Заголовок отсутствует.
При первом заходе или на публичном Wi-Fi пользователь может подвергнуться атаке «человек посередине». Куки могут быть украдены.
| Проверка | Заголовок CSP |
| Категория | Заголовки безопасности |
| Статус | Не выполнено |
CSP — заголовок, который говорит браузеру, откуда можно загружать скрипты и стили. Без него любой внедрённый скрипт выполняется.
Технические детали: Content-Security-Policy отсутствует.
Если злоумышленник найдёт XSS-уязвимость, он сможет украсть куки, сессии, ввести платёжные формы от вашего имени. CSP — последний барьер перед таким сценарием.
| Проверка | Заголовок XFO |
| Категория | Заголовки безопасности |
| Статус | Не выполнено |
Заголовок X-Frame-Options запрещает встраивать ваш сайт в iframe на других страницах.
Технические детали: X-Frame-Options отсутствует.
Злоумышленник может наложить невидимый iframe на ваш сайт и заставить пользователя кликать по нужным кнопкам (clickjacking). Особенно опасно для форм оплаты.
| Проверка | Заголовок XCTO |
| Категория | Заголовки безопасности |
| Статус | Не выполнено |
Заголовок запрещает браузеру «угадывать» MIME-тип файла, если он не совпадает с заявленным.
Технические детали: X-Content-Type-Options отсутствует.
Браузер может интерпретировать картинку как HTML и выполнить скрипт из неё. Это открывает путь к XSS-атакам.
| Проверка | Заголовок Referrer-Policy |
| Категория | Заголовки безопасности |
| Статус | Не выполнено |
Заголовок управляет тем, какие данные о текущей странице передаются на другие сайты при переходе по ссылкам.
Технические детали: Referrer-Policy отсутствует.
URL с чувствительными параметрами (токены сброса пароля, идентификаторы сессии) могут утечь на сторонние сайты.
| Проверка | Заголовок Permissions-Policy |
| Категория | Заголовки безопасности |
| Статус | Не выполнено |
Заголовок ограничивает доступ к функциям браузера (камера, микрофон, геолокация, уведомления) для вашего сайта и встраиваемых iframe.
Технические детали: Permissions-Policy отсутствует.
Внедрённый iframe или сторонний скрипт может запросить доступ к камере или микрофону у пользователя.
| Проверка | SPF-запись |
| Категория | Почта (SPF / DKIM / DMARC) |
| Статус | Частично |
SPF — список серверов, которым разрешено отправлять письма от имени вашего домена.
Технические детали: SPF: v=spf1 include:_spf.timeweb.ru ~all
Мошенники рассылают фишинговые письма от имени вашей компании. Ваши письма попадают в спам у получателей.
| Проверка | CAA-записи |
| Категория | DNS и сертификаты |
| Статус | Частично |
CAA перечисляет удостоверяющие центры, которым разрешено выпускать сертификат на ваш домен.
Технические детали: CAA не заданы.
Любой УЦ может выдать сертификат на ваш домен. Если атакующий уговорит или обманет один из них — он получит валидный сертификат.
| Проверка | DNSSEC |
| Категория | DNS и сертификаты |
| Статус | Частично |
DNSSEC — цифровая подпись DNS-записей. Защищает от подмены ответов DNS.
Технические детали: DS-запись не найдена у родительской зоны.
Атакующий может подменить DNS-ответ и направить пользователей на фишинговый сайт, даже если у вас всё настроено.
| Проверка | security.txt (RFC 9116) |
| Категория | Файлы и раскрытие |
| Статус | Частично |
Файл /.well-known/security.txt по стандарту RFC 9116 содержит контакт, куда сообщать об уязвимостях.
Технические детали: security.txt не найден.
Исследователь, нашедший уязвимость, не знает, кому писать. Может опубликовать её публично или продать.
| Срок | Действие | Приоритет |
|---|---|---|
| Сегодня | Устаревшие протоколы TLS 1.0 / 1.1 | Критично / Высокий |
| Сегодня | Не включён HSTS | Критично / Высокий |
| Сегодня | Нет Content Security Policy (CSP) | Критично / Высокий |
| Сегодня | Нет X-Frame-Options | Критично / Высокий |
| Сегодня | Нет X-Content-Type-Options | Критично / Высокий |
| 7–30 дней | Нет или слабая запись SPF | Средний |
| 7–30 дней | Нет CAA-записей | Средний |
| 7–30 дней | Не включён DNSSEC | Средний |
| 7–30 дней | Нет security.txt | Средний |
| Категория | Проверка | Статус | Детали |
|---|---|---|---|
| Транспорт и HTTPS | Сайт работает по HTTPS | OK Выполнено | Код ответа: 200 |
| Транспорт и HTTPS | HTTP перенаправляется на HTTPS | OK Выполнено | Редирект на https://demo-shop.ru/ |
| Транспорт и HTTPS | TLS-сертификат действителен | OK Выполнено | Issuer: countryName=US, organizationName=Let's Encrypt, commonName=YR1. Действителен до 2026-12-15T06:19:11+00:00 (осталось 62 дн). |
| Транспорт и HTTPS | Устаревшие протоколы TLS 1.0 / 1.1 | FAIL Не выполнено | Сервер принимает устаревшие протоколы: TLS 1.0, TLS 1.1. TLS 1.0 и 1.1 запрещены с 2021 (RFC 8996), уязвимы к BEAST, POODLE, Sweet32. Поддер |
| Транспорт и HTTPS | Слабые шифры TLS не поддерживаются | OK Выполнено | Устаревшие и небезопасные шифры (RC4, 3DES, DES, NULL, EXPORT) не поддерживаются. |
| Транспорт и HTTPS | Удостоверяющий центр сертификата определён | OK Выполнено | Используется Let's Encrypt. Сертификат распознаётся всеми браузерами. |
| Транспорт и HTTPS | Не включён HSTS | FAIL Не выполнено | Заголовок отсутствует. |
| Заголовки безопасности | Нет Content Security Policy (CSP) | FAIL Не выполнено | Content-Security-Policy отсутствует. |
| Заголовки безопасности | Нет X-Frame-Options | FAIL Не выполнено | X-Frame-Options отсутствует. |
| Заголовки безопасности | Нет X-Content-Type-Options | FAIL Не выполнено | X-Content-Type-Options отсутствует. |
| Заголовки безопасности | Нет Referrer-Policy | FAIL Не выполнено | Referrer-Policy отсутствует. |
| Заголовки безопасности | Нет Permissions-Policy | FAIL Не выполнено | Permissions-Policy отсутствует. |
| Почта (SPF / DKIM / DMARC) | Нет или слабая запись SPF | WARN Частично | SPF: v=spf1 include:_spf.timeweb.ru ~all |
| Почта (SPF / DKIM / DMARC) | DMARC-политика настроена | OK Выполнено | DMARC: v=DMARC1; p=reject |
| Почта (SPF / DKIM / DMARC) | DKIM настроен | OK Выполнено | Найден у селекторов: dkim. |
| Почта (SPF / DKIM / DMARC) | MX-записи настроены | OK Выполнено | MX: mx1.timeweb.ru | mx2.timeweb.ru |
| DNS и сертификаты | Нет CAA-записей | WARN Частично | CAA не заданы. |
| DNS и сертификаты | Не включён DNSSEC | WARN Частично | DS-запись не найдена у родительской зоны. |
| Файлы и раскрытие | robots.txt корректен | OK Выполнено | robots.txt доступен. |
| Файлы и раскрытие | Нет security.txt | WARN Частично | security.txt не найден. |
| Файлы и раскрытие | Сервер раскрывает версию | INFO Информация | Server: ddos-guard |
| Политики и ПДн | Политика обработки ПДн опубликована | OK Выполнено | Найдено: /privacy |
| Политики и ПДн | Cookie-баннер информирует о cookies до их установки | OK Выполнено | Признаки cookie-баннера присутствуют. |
| Политики и ПДн | Зарубежных счётчиков аналитики не обнаружено | OK Выполнено | Зарубежных счётчиков аналитики не обнаружено. |
| Политики и ПДн | Российские счётчики аналитики | INFO Информация | Счётчиков аналитики в HTML не обнаружено. |
| Политики и ПДн | Смешанного контента нет | OK Выполнено | HTTP-ресурсов на HTTPS-странице не найдено. |
| Файлы и раскрытие | WAF / CDN | INFO Информация | Обнаружен: DDoS-Guard. |
| Активно: чувствительные файлы | Экспонированный .git/config | OK Выполнено | /.git/config -> 404. |
| Активно: чувствительные файлы | Экспонированный .git/HEAD | OK Выполнено | /.git/HEAD -> 404. |
| Активно: чувствительные файлы | Файл .env | OK Выполнено | /.env -> 404. |
| Активно: чувствительные файлы | Экспонированный .svn | OK Выполнено | /.svn/entries -> 404. |
| Активно: чувствительные файлы | Экспонированный .hg | OK Выполнено | /.hg/requires -> 404. |
| Активно: чувствительные файлы | .htaccess доступен | OK Выполнено | /.htaccess -> 404. |
| Активно: чувствительные файлы | .htpasswd доступен | OK Выполнено | /.htpasswd -> 404. |
| Активно: бэкапы | Бэкап: backup.zip | OK Выполнено | /backup.zip -> 404. |
| Активно: бэкапы | Бэкап: backup.tar.gz | OK Выполнено | /backup.tar.gz -> 404. |
| Активно: бэкапы | Бэкап: www.zip | OK Выполнено | /www.zip -> 404. |
| Активно: бэкапы | Бэкап: site.zip | OK Выполнено | /site.zip -> 404. |
| Активно: бэкапы | Бэкап: public_html.zip | OK Выполнено | /public_html.zip -> 404. |
| Активно: бэкапы | Бэкап: web.zip | OK Выполнено | /web.zip -> 404. |
| Активно: бэкапы | Бэкап: backup.sql | OK Выполнено | /backup.sql -> 404. |
| Активно: бэкапы | Бэкап: dump.sql | OK Выполнено | /dump.sql -> 404. |
| Активно: бэкапы | Бэкап: database.sql | OK Выполнено | /database.sql -> 404. |
| Активно: бэкапы | Бэкап: db.sql | OK Выполнено | /db.sql -> 404. |
| Активно: бэкапы | Бэкап: wp-config.php.bak | OK Выполнено | /wp-config.php.bak -> 404. |
| Активно: бэкапы | Бэкап: wp-config.php~ | OK Выполнено | /wp-config.php~ -> 404. |
| Активно: бэкапы | Бэкап: wp-config.php.old | OK Выполнено | /wp-config.php.old -> 404. |
| Активно: бэкапы | Бэкап: config.php.bak | OK Выполнено | /config.php.bak -> 404. |
| Активно: бэкапы | Бэкап: index.php.bak | OK Выполнено | /index.php.bak -> 404. |
| Активно: бэкапы | Бэкап: index.php~ | OK Выполнено | /index.php~ -> 404. |
| Активно: бэкапы | Бэкап: index.php.old | OK Выполнено | /index.php.old -> 404. |
| Активно: бэкапы | Бэкап: .env.bak | OK Выполнено | /.env.bak -> 404. |
| Активно: бэкапы | Бэкап: .env.old | OK Выполнено | /.env.old -> 404. |
| Активно: админки и панели | WordPress /wp-admin/ | OK Выполнено | /wp-admin/ -> 403 (защищено). |
| Активно: админки и панели | WordPress /wp-login.php | OK Выполнено | /wp-login.php -> 403 (защищено). |
| Активно: админки и панели | Админ-панель доступна публично | INFO Информация | /administrator/ -> 301 → https://demo-shop.ru/administrator. |
| Активно: админки и панели | Админ-панель доступна публично | INFO Информация | /admin/ -> 301 → https://demo-shop.ru/admin. |
| Активно: админки и панели | Adminer | OK Выполнено | /adminer.php -> 403 (защищено). |
| Активно: админки и панели | Админ-панель доступна публично | INFO Информация | /phpmyadmin/ -> 301 → https://demo-shop.ru/phpmyadmin. |
| Активно: админки и панели | Админ-панель доступна публично | INFO Информация | /pma/ -> 301 → https://demo-shop.ru/pma. |
| Активно: админки и панели | Tomcat Manager | OK Выполнено | /manager/html -> 404. |
| Активно: раскрытие информации | phpinfo() | OK Выполнено | /phpinfo.php -> 403. |
| Активно: раскрытие информации | phpinfo() | OK Выполнено | /info.php -> 403. |
| Активно: раскрытие информации | test.php | OK Выполнено | /test.php -> 403. |
| Активно: раскрытие информации | Apache server-status | OK Выполнено | /server-status -> 404. |
| Активно: раскрытие информации | Apache server-info | OK Выполнено | /server-info -> 404. |
| Активно: листинги каталогов | Листинг /assets/ | OK Выполнено | /assets/ -> 403. |
| Активно: листинги каталогов | Листинг /wp-content/uploads/ | OK Выполнено | /wp-content/uploads/ -> 403. |
| Активно: WordPress | Перечисление пользователей WordPress закрыто | OK Выполнено | Эндпоинт недоступен (это ок для не-WP сайтов). |
| Активно: HTTP-методы | Разрешённые HTTP-методы | INFO Информация | Сервер не сообщил список методов. |
| Активно: API (GraphQL, CORS) | GraphQL introspection /graphql | OK Выполнено | /graphql -> 404. |
| Активно: API (GraphQL, CORS) | GraphQL introspection /api/graphql | OK Выполнено | /api/graphql -> 404. |
Проверки выполнены автоматизированной системой SiteGuard с внешнего IP-адреса, без доступа к инфраструктуре клиента. Отчёт не является заключением пентеста и не заменяет аттестацию по требованиям ФСТЭК. Для оценки внутренней инфраструктуры требуется ручной аудит с доступом к серверам.
Тариф «Расширенный» добавляет проверку OWASP ZAP: активный поиск инъекций, XSS и ошибок конфигурации с отдельным индикатором DAST и ссылками на CWE.
Оформить «Расширенный» →