Website Security Check: kontrollera webbplatsens säkerhet

Den hämtar din sida en gång som en vanlig besökare (och följer omdirigeringar i begränsad omfattning) och läser vad servern avslöjar: headers Server och X-Powered-By, CMS-generatorn i HTML-koden, sex säkerhetsheaders, cookies flaggor, TLS-certifikatet, äldre TLS-versioner, omdirigering till HTTPS samt domänens SPF, DMARC och DKIM. Identifierade versioner jämförs med versionsdata från endoflife.date och aktuella säkerhetsvarningar. I det fiktiva exemplet uppger example.com versionen PHP 8.2.28, är därmed troligen sårbar och får betyget F.

Nej, avsiktligt inte. En sårbarhetsskanner angriper aktivt en webbplats, till exempel med testförfrågningar till många sökvägar. Det är inte lämpligt på andras servrar och hör inte hemma i ett offentligt verktyg. Kontrollen är passiv: Den testar inga angrepp, undersöker inga andra sökvägar och visar var din webbplats verkar sårbar utifrån. För ett tillförlitligt svar använder du självtestet på din server.

Varje kontroll börjar på 100 poäng och drar av viktade poäng för varje problem: En aktuell säkerhetsvarning eller ett ogiltigt certifikat ger stora avdrag, medan saknade säkerhetsheaders tillsammans ger högst 8 poängs avdrag. Från 90 poäng blir betyget A, från 80 B, från 70 C, från 60 D och från 50 E. Under det blir betyget F. Om en aktuell säkerhetsvarning gäller den identifierade versionen blir betyget högst D. Serverprogramvara som inte längre stöds får högst C. Det som inte syns utifrån ger inga poängavdrag, så inte ens ett A bevisar att servern är säker.

Utifrån ser du bara vad en server själv avslöjar. Om den inte uppger någon version blir bedömningen ”kan inte identifieras”: Att dölja versionen är bra, men säger inget om patchnivån. Ett gammalt versionsnummer kan dessutom redan vara patchat, eftersom Debian, Ubuntu och andra distributioner lägger till säkerhetsfixar i äldre versioner och behåller versionsnumret. Kontrollen säger därför ”troligen sårbar”, ”kan inte identifieras” eller ”patchad”, men aldrig ”säker”.

Kontrollera på servern med php -v. För webbförfrågningar är det dock versionen av PHP-FPM eller Apache som räknas, inte bara kommandoradsversionen. Kommandot i självtestet visar alla PHP-installationer som hittas, deras versioner och relevanta inställningar. Utifrån kan vissa servrar visa versionen i headern X-Powered-By. Du kan stänga av det med expose_php=Off.

Du kör ett kort kommando på din server som bara läser data och klistrar in resultatet i verktyget. Kommandot startar inga program, utan läser bara paketdatabasen och konfigurationsfiler: operativsystem och kärna, paketversioner för PHP, nginx, Apache, OpenSSL, MySQL, MariaDB, PostgreSQL, Redis och Node.js, tillgängliga uppdateringar i pakethanterarens lokala cache, om en omstart väntar, relevanta php.ini-värden och om paketens ändringsloggar nämner korrigeringarna. Analysen sker i din webbläsare: resultatet skickas inte och sparas inte. På så sätt kan du även kontrollera interna servrar och bedöma distributionens bakåtanpassade säkerhetsfixar.

Två kritiska sårbarheter i PHP som BSI varnar för den 21.10.2026. Enligt varningen berörs även äldre versioner, åtminstone ned till PHP 5. Patchade versioner är 8.5.12, 8.4.27, 8.3.36 och 8.2.35. För 7.4, 8.0 och 8.1 har PHP-teamet tillhandahållit bakåtanpassade patchar. Som tillfälliga lösningar nämner BSI session.upload_progress.enabled=0, memory_limit=-1, ett lågt post_max_size och, för PHP 8.5, fatal_error_backtraces=0. Dessa åtgärder försvårar bara angrepp och ersätter inte en uppdatering.

Nej. Website Security Check är avsedd för webbplatsägare och administratörer och bedömer webbplatsens programvaruversioner, säkerhetsheaders, TLS och e-postposter. Den kontrollerar inte om en butik är seriös, om en sida används för nätfiske eller om den sprider skadlig kod.

Kontrollen är gratis och kräver ingen inloggning. För att ingen server ska överbelastas med förfrågningar tillåts högst 10 kontroller per minut och IP-adress samt 30 per minut och kontrollerad värd. Resultat mellanlagras i cirka 10 minuter. Kontrollen hämtar inte adresser med privat IP, localhost eller inloggningsuppgifter i URL:en. För interna servrar använder du självtestet.