Sprawdzanie zaufania domeny

Sprawdzanie wiarygodności strony: co naprawdę ocenia narzędzie

Najważniejsze na początek: ten test sprawdza techniczną higienę strony. To nie jest antywirus, baza oszustów ani agregator opinii. Narzędzie pobiera podaną stronę, a także robots.txt, sitemap.xml i DNS domeny, po czym wykonuje 15 testów. Każdy ma swoją wagę, a razem dają 100 punktów:

Wpisuj adres z https:// albo bez protokołu. Certyfikat jest odczytywany przy pierwszym połączeniu, więc przy adresie z http:// test SSL może nie przejść, nawet jeśli strona później przekierowuje na https.

Wysoka ocena nie znaczy, że stronie można powierzyć pieniądze

Oszuści dawno opanowali higienę techniczną. Darmowy certyfikat Let's Encrypt powstaje w minutę, nagłówki bezpieczeństwa można skopiować z dowolnego poradnika, a gotowe szablony sklepów mają już Open Graph i Schema.org. Phishingowa kopia znanego sklepu może zdobyć 90+ punktów. Uczciwy mały sklep na starym CMS-ie może dostać 50 tylko dlatego, że nikt nie włączył HSTS.

Narzędzie nie sprawdza wieku domeny, opinii, skarg, danych firmy ani obecności na listach stron niebezpiecznych. Na pytanie „czy ten sklep jest wiarygodny” odpowiada więc tylko częściowo: niska ocena to powód, by przyjrzeć się bliżej, a wysoka nie jest gwarancją. Rozstrzyga lista kontrolna poniżej.

Poziom zaufania: jak czytać punkty i czym to się różni od „trustu” w SEO

Skala wygląda tak: 80–100 to „Doskonale”, 60–79 „Dobrze”, 40–59 „Średnio”, poniżej 40 „Słabo”. Pod oceną każdy test ma opis tego, co znaleziono lub czego brakuje. Strony dużych firm zwykle tracą punkty na CSP i X-Frame-Options, a małe strony na kreatorach na HSTS, sitemapie i znacznikach danych strukturalnych. To normalne i samo w sobie nic nie mówi o uczciwości właściciela.

W SEO „trust” oznacza coś innego: jak autorytatywna jest domena w oczach wyszukiwarki. Google nie publikuje takiej metryki, a zewnętrzne narzędzia szacują ją na podstawie profilu linków, na przykład jako Domain Rating. Żeby sprawdzić te wskaźniki domeny, patrz na liczbę domen linkujących i DR. Co oznaczają i skąd je wziąć, opisuje artykuł o Domain Rating. Sygnały techniczne z tego raportu to fundament, ale same prawie nie wpływają na pozycje.

Jak sprawdzić, czy sklep internetowy nie jest oszustwem

1. Adres w pasku przeglądarki. Szukaj dodatkowych słów i liter: brandname-promocje.shop, brandname-pl.top, brandname.pl.bezpieczna-platnosc.top, gdzie brandname to znany sklep. W ostatnim przykładzie prawdziwa domena to bezpieczna-platnosc.top, a wszystko po lewej to subdomeny, które właściciel nazywa jak chce.
2. Wiek domeny. Sklep z „15-letnim doświadczeniem” na domenie zarejestrowanej miesiąc temu to najczęstszy znak podróbki. Sprawdzisz to w kilka sekund w sprawdzaniu wieku domeny.
3. Dane firmy. Prawdziwy sprzedawca podaje firmę, NIP i adres. Wyszukaj go w CEIDG lub KRS i porównaj nazwę oraz datę rejestracji.
4. Cena. Rabat 50–70% na popularny towar (telefony, elektronika, odzież markowa) to prawie zawsze przynęta.
5. Płatność. Tylko przelew na prywatne konto, krypto albo link do „bezpiecznej transakcji” przysłany na komunikatorze: stop. Płatność kartą, BLIK-iem przez bramkę płatniczą lub za pobraniem jest bezpieczniejsza, a przy karcie możesz złożyć chargeback.
6. Kontakt. Tylko WhatsApp lub Messenger, brak telefonu i e-maila w domenie sklepu. Pomoże też wiersz MX w raporcie: jeśli domena nie ma poczty, pisanie na „kontakt@” tego sklepu nie ma sensu.
7. Opinie poza sklepem. Opinie na samej stronie pisze właściciel. Szukaj nazwy i domeny w Mapach Google, na Ceneo, Opineo i na forach, dodając słowa „opinie”, „oszustwo”.
8. Zdjęcia i teksty. Wyszukiwanie obrazem (Google Lens) szybko pokaże, że „zdjęcia naszego magazynu” pochodzą z cudzej strony.
9. Regulamin. Regulamin, zasady zwrotów i polityka prywatności skopiowane z innego sklepu, czasem razem z jego nazwą, to częste znalezisko.

Gdzie jeszcze sprawdzić bezpieczeństwo strony

• Google Safe Browsing: w raporcie przejrzystości Google (transparencyreport.google.com) jest sprawdzanie stanu witryny. Widać tam, czy Google oznacza adres jako phishing lub złośliwe oprogramowanie.
• Lista ostrzeżeń CERT Polska zawiera domeny wyłudzające dane i pieniądze. Podejrzaną stronę możesz też zgłosić przez incydent.cert.pl.
• VirusTotal sprawdza URL jednocześnie w dziesiątkach baz antywirusowych.
• Telefon i numer konta. Wpisz w wyszukiwarkę numer telefonu sprzedawcy i numer konta, na które masz przelać pieniądze. Często znajdziesz skargi innych kupujących, nawet jeśli oszuści mają już nową domenę.
• Certyfikat: kłódka oznacza tylko szyfrowane połączenie. Komu i kiedy wystawiono certyfikat, pokaże sprawdzanie SSL.

Jeśli już zapłaciłeś oszustom, od razu zadzwoń do banku pod numer z karty i poproś o zablokowanie karty oraz reklamację transakcji. Następnie zgłoś sprawę na policję.

Jak podnieść wiarygodność własnej strony

Jeśli jesteś właścicielem i chcesz, by strona wyglądała solidnie zarówno dla ludzi, jak i dla tego testu, większość punktów zrobisz w godzinę. Nagłówki bezpieczeństwa dla nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy-Report-Only "default-src 'self' https:; img-src * data:" always;

W Apache to samo ustawisz przez Header always set w .htaccess przy włączonym mod_headers. CSP zacznij od trybu Report-Only: ostra polityka włączona od razu łatwo psuje analitykę, czaty i bramki płatności. Poza nagłówkami:

• dodaj robots.txt z linią Sitemap: i samą mapę strony;
• dodaj znaczniki JSON-LD typu Organization lub LocalBusiness z nazwą, adresem i telefonem, czyli te same dane, których szukają klienci;
• dodaj canonical, lang, viewport, favicon i Open Graph, jeśli ich brakuje;
• używaj poczty we własnej domenie (rekordy MX) zamiast gmaila w kontaktach.

Jakie nagłówki już wysyłasz i czy mają poprawne wartości, pokaże sprawdzanie nagłówków bezpieczeństwa. Znaczenie każdego z nich wyjaśnia słownik: nagłówki bezpieczeństwa.