Website Security Check: sprawdź bezpieczeństwo witryny

Narzędzie pobiera Twoją stronę raz, jak zwykły odwiedzający (z ograniczoną liczbą przekierowań), i odczytuje informacje ujawniane przez serwer: nagłówki Server i X-Powered-By, generator CMS w HTML, sześć nagłówków bezpieczeństwa, flagi plików cookie, certyfikat TLS, stare wersje TLS, przekierowanie na HTTPS oraz rekordy SPF, DMARC i DKIM domeny. Wykryte wersje porównuje z danymi o wydaniach z endoflife.date i aktualnymi ostrzeżeniami o bezpieczeństwie. W fikcyjnym przykładzie example.com zgłasza wersję PHP 8.2.28, jest więc prawdopodobnie podatna i otrzymuje ocenę F.

Nie — celowo. Skaner podatności aktywnie sprawdza stronę, na przykład wysyłając żądania testowe pod wiele ścieżek. Nie powinno się tego robić na cudzych serwerach ani udostępniać w publicznym narzędziu. To narzędzie działa pasywnie: nie próbuje przeprowadzać ataków, nie sprawdza dodatkowych ścieżek i wskazuje, gdzie Twoja strona wygląda na podatną z zewnątrz. Aby uzyskać wiarygodną odpowiedź, użyj autotestu na swoim serwerze.

Każde sprawdzenie zaczyna się od 100 punktów. Za problemy odejmowane są punkty z różną wagą: aktualne ostrzeżenie o bezpieczeństwie lub nieważny certyfikat kosztują dużo, a brakujące nagłówki bezpieczeństwa — łącznie najwyżej 8 punktów. Od 90 punktów przyznawane jest A, od 80 — B, od 70 — C, od 60 — D, od 50 — E, a poniżej — F. Jeśli aktualne ostrzeżenie o bezpieczeństwie dotyczy wykrytej wersji, ocena nie może być wyższa niż D; w przypadku nieobsługiwanego oprogramowania serwerowego — wyższa niż C. Za to, czego nie widać z zewnątrz, nie odejmuje się punktów, dlatego nawet A nie dowodzi, że serwer jest bezpieczny.

Z zewnątrz widzisz tylko to, co serwer sam ujawnia. Jeśli nie podaje wersji, wynik brzmi „nie można ustalić”: ukrywanie wersji jest dobre, ale nie mówi nic o stanie poprawek. Z kolei stara wersja mogła już otrzymać poprawkę, ponieważ Debian, Ubuntu i inne dystrybucje przenoszą poprawki bezpieczeństwa do starszych wersji bez zmiany numeru. Dlatego narzędzie podaje wynik „prawdopodobnie podatna”, „nie można ustalić” lub „z poprawką”, ale nigdy „bezpieczna”.

Sprawdź na serwerze poleceniem php -v. W przypadku żądań WWW liczy się jednak wersja PHP-FPM lub Apache, a nie tylko wersja używana w wierszu poleceń. Polecenie z autotestu pokaże wszystkie znalezione instalacje PHP, ich wersje i istotne ustawienia. Niektóre serwery ujawniają wersję w nagłówku X-Powered-By; możesz to wyłączyć przez expose_php=Off.

Uruchamiasz na swoim serwerze krótkie polecenie, które tylko odczytuje dane, a wynik wklejasz do narzędzia. Polecenie nie uruchamia programów — odczytuje jedynie bazę pakietów i pliki konfiguracyjne: system operacyjny i jądro, wersje pakietów PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis i Node.js, dostępne aktualizacje z lokalnej pamięci podręcznej menedżera pakietów, informację o wymaganym ponownym uruchomieniu, istotne wartości php.ini oraz wzmianki o poprawkach w dziennikach zmian pakietów. Analiza odbywa się w Twojej przeglądarce: wynik polecenia nie jest wysyłany ani zapisywany. Dzięki temu sprawdzisz też serwery wewnętrzne i ocenisz poprawki przeniesione do starszych wersji przez dystrybucję.

Dwie krytyczne podatności w PHP, przed którymi BSI ostrzega 21.10.2026. Według ostrzeżenia dotyczą one również starszych wersji, co najmniej do PHP 5. Poprawki zawierają wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, a dla 7.4, 8.0 i 8.1 zespół PHP udostępnił poprawki przeniesione do starszych wersji. Jako rozwiązanie tymczasowe BSI wskazuje session.upload_progress.enabled=0, memory_limit=-1, niską wartość post_max_size oraz fatal_error_backtraces=0 w PHP 8.5. Te obejścia jedynie utrudniają atak — nie zastępują aktualizacji.

Nie. Website Security Check jest przeznaczony dla właścicieli witryn i administratorów. Ocenia wersje oprogramowania, nagłówki bezpieczeństwa, TLS i rekordy pocztowe witryny. Nie sprawdza, czy sklep jest wiarygodny ani czy strona służy do phishingu lub rozpowszechnia złośliwe oprogramowanie.

Sprawdzenie jest bezpłatne i nie wymaga logowania. Aby nie przeciążać serwerów żądaniami, limit wynosi 10 sprawdzeń na minutę na adres IP i 30 na minutę na sprawdzany host. Wynik jest przechowywany w pamięci podręcznej przez około 10 minut. Narzędzie nie odwiedza adresów z prywatnym IP, localhost ani adresów URL zawierających dane logowania. Do serwerów wewnętrznych użyj autotestu.