Skan bezpieczeństwa · Polska · 5 skanów za darmo

Bezpieczeństwo
Twojej strony.

Wklejasz URL, otrzymujesz listę rzeczy do naprawienia - zanim ktoś je znajdzie za ciebie.

5 skanów za darmo10 modułówWynik w 5 min

scroll

SSL / TLS AUDIT·OTWARTE PORTY TCP·SEKRETY W BUNDLE JS·NAGŁÓWKI HTTP · OWASP·NUCLEI CVE ENGINE·DNS · SPF DKIM DMARC·ZGODNOŚĆ Z RODO·WYKRYWANIE STOSU·FIX PROMPT AI·WYNIK A–F W 5 MINUT·SSL / TLS AUDIT·OTWARTE PORTY TCP·SEKRETY W BUNDLE JS·NAGŁÓWKI HTTP · OWASP·NUCLEI CVE ENGINE·DNS · SPF DKIM DMARC·ZGODNOŚĆ Z RODO·WYKRYWANIE STOSU·FIX PROMPT AI·WYNIK A–F W 5 MINUT·SSL / TLS AUDIT·OTWARTE PORTY TCP·SEKRETY W BUNDLE JS·NAGŁÓWKI HTTP · OWASP·NUCLEI CVE ENGINE·DNS · SPF DKIM DMARC·ZGODNOŚĆ Z RODO·WYKRYWANIE STOSU·FIX PROMPT AI·WYNIK A–F W 5 MINUT·SSL / TLS AUDIT·OTWARTE PORTY TCP·SEKRETY W BUNDLE JS·NAGŁÓWKI HTTP · OWASP·NUCLEI CVE ENGINE·DNS · SPF DKIM DMARC·ZGODNOŚĆ Z RODO·WYKRYWANIE STOSU·FIX PROMPT AI·WYNIK A–F W 5 MINUT·

domen

przeskanowanych

skanów

wykonanych

problemów

wykrytych

0 zł

koszt

zawsze za darmo

- Typowe zagrożenia

Sześć błędów,
które widzimy w kółko.

W większości projektów które trafiają do skanera, znajdziemy przynajmniej dwa z tych sześciu. Zdarza się, że wszystkie.

w JS

Klucze API w kodzie

Stripe, OpenAI lub Supabase service key w pliku JS - widoczny w DevTools każdej przeglądarki.

bez auth

Otwarta baza danych

Port MySQL lub MongoDB dostępny z całego internetu, bez hasła i bez firewalla.

domyślnie

Supabase bez RLS

Row Level Security wyłączone. Każdy czyta i modyfikuje dane innych użytkowników.

brak CSP

Brak nagłówków HTTP

Bez HSTS, CSP i X-Frame-Options - podatna na XSS, clickjacking i ataki MITM.

/public

Plik .env publicznie

Przypadkowo skopiowany .env do katalogu public. Hasła do bazy, klucze SMTP - widoczne.

Brak RODO compliance

Google Analytics bez zgody CNIL/UODO, trackery bez banera cookies. UODO może nałożyć karę do 4% rocznego obrotu za poważne naruszenia.

Dla kogo

Dla każdego
kto deployuje.

Sprawdź moją stronę →

01Developer / AI BuilderSprawdzasz czy Cursor nie zostawił dziury - zanim projekt pójdzie live.

02Startup / SaaSRaport bezpieczeństwa gotowy zanim pojawi się pytanie od inwestora.

03Agencja / FreelancerDo każdego projektu dołączasz raport - klient wie, że bezpieczeństwo było na liście.

04Indie HackerOdznaka A+ w stopce strony - jeden konkretny sygnał zaufania dla użytkowników.

- Jak działa

Dodaj tag. Wpisz URL.
Raport gotowy w 5 minut.

Utwórz konto i zweryfikuj domenę

Utwórz konto - dowolna nazwa, bez prawdziwego emaila. Wklej tag <meta name="security-scan" content="wt-[token]"> do <head> swojej strony i kliknij Zweryfikuj. Jednorazowe - potwierdza że domena należy do Ciebie, nie do kogoś kto chce skanować cudzą stronę.

~2 minuty · jednorazowe

<metaname="security-scan"content="wt-abc123xyz"/>

Uruchom skan

Skan trwa do 5 minut - otrzymujesz pełny raport: SSL/TLS, otwarte porty TCP, nagłówki HTTP z oceną CSP, wycieki sekretów w JS, podatności CVE, konfiguracja DNS email i zgodność z RODO.

1–5 minut

SSL / TLS

Porty TCP

Nagłówki

Sekrety JS

Nuclei CVE

RODO

Napraw z Fix Promptem

Otrzymujesz ocenę A–F z listą podatności i Fix Prompt po polsku. Wklejasz do Cursor, Lovable, Bolt albo ChatGPT - AI dostaje konkretną instrukcję, co i gdzie poprawić.

Wynik gotowy

A+

97 / 100

Fix Prompt gotowy →

- Tak wygląda prawdziwy skan

Wynik w czasie rzeczywistym.

wirtualnatarcza - scan

$ wirtualnatarcza scan https://myapp.lovable.app

Weryfikacja własności domeny... ✓

Inicjalizacja 10 modułów skanera...

Porty TCP: skanowanie 36+ portów...

✗ KRYTYCZNE Port 3306 (MySQL) otwarty publicznie

Pliki wrażliwe: sprawdzanie 37 ścieżek...

✗ KRYTYCZNE /.env dostępny bez autoryzacji

Bundle JS: analiza kluczy API...

✗ KRYTYCZNE STRIPE_SECRET_KEY w bundle.js

⚠ WYSOKIE Brak HSTS, CSP, X-Frame-Options

⚠ WYSOKIE DMARC p=none - ryzyko spoofingu

✓ OK SSL/TLS 1.3, certyfikat ważny 287 dni

Nuclei CVE: sprawdzanie 10 284 szablonów...

⚠ ŚREDNIE CVE-2024-4367: podatna zależność

──────────────────────────────────────────

WYNIK: F │ 22/100 │ 12 problemów │ 3 krit.

Fix Prompt AI - gotowy do Cursor/Lovable

- Co sprawdzamy

10 warstw
ochrony.

Każde zagrożenie ma konkretny dowód - raw request, odpowiedź serwera lub fragment kodu - gotowy do Fix Promptu.

Skanuj teraz

SSL / TLStestssl.sh

Ważność, łańcuch certyfikatu, protokoły TLS 1.0/1.1, słabe szyfry, HSTS i OCSP stapling.

Otwarte porty TCP36+ portów

MySQL 3306, MongoDB 27017, Redis 6379, Elasticsearch 9200, Kubernetes API 6443, Docker TLS 2376 - bazy i usługi bez firewalla.

Nagłówki HTTPOWASP A-F

HSTS (includeSubDomains, preload), CSP z oceną A-F, COOP, COEP, CORS, aktywny test clickjackingu i info-leak headers.

Sekrety w bundle JS80+ wzorców

Klucze Stripe, OpenAI, Supabase, AWS, GitHub, Twilio i 80+ innych wzorców API keys.

Ukryte pliki50+ ścieżek

.env, .git/config, wp-config.php, backup.sql - pliki które nigdy nie powinny być publiczne.

DNS / Email securitySPF DKIM DMARC

SPF, DKIM, DMARC, MTA-STS, TLS-RPT, BIMI - 6 standardów chroniących przed phishingiem.

Wykrywanie stosuAI stack detect

Lovable, Bolt, v0, Cursor, Base44, WordPress, Next.js - każdy ma przewidywalne luki.

CVE / Nuclei scan10 000+ szablonów

Nuclei z oficjalną bazą szablonów. CVE, błędy konfiguracji i exposed panele adminów.

RODO / ComplianceUODO/CNIL/GDPR

Google Analytics bez zgody, cookies bez bannera, brak polityki prywatności.

OWASP Top 10aktywne testy

HTTP TRACE, open redirect, directory listing, phpinfo, przestarzałe biblioteki JS (jQuery, Bootstrap, Lodash, Handlebars), path traversal, autocomplete hasła.

- Odznaka bezpieczeństwa