Проверка сайта на вирусы и уязвимости

Введите домен — проверим главную страницу снаружи, как её видит посетитель: признаки вредоносного кода, чёрные списки, SSL, заголовки безопасности, cookies, устаревшую CMS и почтовые записи. Без установки и регистрации.

Что проверяется

Код главной страницы: обфусцированный JavaScript, скрытые iframe, криптомайнеры, признаки скиммера карт, скрипты с подозрительных доменов, ключи API в HTML.
Чёрные списки: URLhaus (база вредоносных URL) и Spamhaus DBL.
HTTPS, редирект с HTTP, срок SSL-сертификата, устаревшие TLS 1.0/1.1, смешанный контент.
Заголовки безопасности (HSTS, CSP, X-Frame-Options и др.), флаги cookies, раскрытие версий сервера.
CMS, плагины WordPress и JS-библиотеки, видимые в коде, — сверка версий с базой известных уязвимостей (CVE).
Почта и DNS: SPF, DMARC, CAA, MTA-STS.

Чего внешняя проверка не видит

Файлы на сервере: веб-шеллы, бэкдоры и заражённые PHP-файлы, которые не выводят ничего на главную.
Другие страницы сайта — проверяется только главная.
Вредонос, который показывается только Googlebot, мобильным, посетителям из поиска или из определённых стран (клоакинг).
Админ-панель, база данных, пароли, внутренний код плагинов и их версии, если они не видны в HTML.
Открытые служебные файлы (.git, .env, бэкапы) и уязвимости, которые находятся только активными пробами, — их мы на чужих сайтах не запускаем.

Нужно больше, чем взгляд снаружи? PromoPilot Shield

Это бесплатная часть нашего сканера безопасности. В Shield — проверки, которые требуют подтверждения, что сайт ваш:

Глубокий скан ($19 разово): открытые .git/.env и бэкапы, уязвимости CMS и плагинов, поверхность инъекций и SSRF, CORS, проверка клоакинга и SEO-спама глазами Googlebot. ИИ-отчёт с планом исправления и PDF.
Готовые исправления: .htaccess, конфиг nginx и DNS-записи, собранные по найденным проблемам (для платных сканов).
Серверный агент только для чтения: ищет веб-шеллы, бэкдоры и внедрённый код в файлах сайта, сверяет целостность ядра WordPress (с комплексным аудитом или подпиской).
Мониторинг от $12/мес: регулярные пересканы и оповещения о новых угрозах и сроке сертификата.

Подробнее о Shield

Проверить отдельно

Заголовки безопасности

Разбор каждого заголовка безопасности с оценкой A–F.

Проверка SSL

Сертификат, цепочка доверия, срок действия.

Проверка в чёрных списках

IP сервера в спам-базах DNSBL.

Доверие домена

Технические сигналы доверия к домену.

Проверка заголовков

Все HTTP-заголовки ответа сервера.

Проверка сайта на вирусы и уязвимости онлайн

Инструмент проверяет сайт снаружи — так, как его видят посетитель, браузер и поисковик. Он загружает главную страницу и ищет в её коде признаки заражения: обфусцированный JavaScript, скрытые iframe, криптомайнеры, перехват полей банковской карты, скрипты с подозрительных доменов и ключи API в HTML. Домен сверяется с базой вредоносных URL URLhaus и списком Spamhaus DBL. Параллельно проверяются HTTPS и SSL-сертификат, устаревшие версии TLS, заголовки безопасности, флаги cookies, версии CMS, плагинов WordPress и JS-библиотек по базе известных уязвимостей, а также почтовые записи SPF, DMARC, CAA и MTA-STS. Проверка пассивная: мы не перебираем пути, не отправляем атакующих запросов и не трогаем админку. Итог — оценка от A+ до F и список находок по уровню риска с пояснениями.

Поиск вредоносного кода на главной: обфускация, скрытые iframe, майнеры, скиммеры карт

Проверка домена в URLhaus и Spamhaus DBL

Версии CMS, плагинов WordPress и JS-библиотек против базы CVE

SSL-сертификат, TLS 1.0/1.1, редирект на HTTPS, смешанный контент

Заголовки безопасности и флаги cookies

SPF, DMARC, CAA, MTA-STS — защита от подделки писем

Как пользоваться

Введите домен или адрес любой страницы сайта — проверяется главная страница этого домена
Дождитесь окончания проверки — обычно это от 5 до 30 секунд
Начните с находок уровня «Критично» и «Высокий риск», затем закройте остальные

FAQ

Нет. Внешняя проверка видит только то, что сайт отдаёт в ответ на обычный запрос к главной странице. Бэкдоры и веб-шеллы в файлах сервера, заражённые внутренние страницы и вредонос, который показывается только Googlebot или посетителям из определённых стран, она может пропустить. Если вы подозреваете взлом, проверьте файлы на сервере.

Да, потому что проверка пассивная: она делает те же запросы, что и обычный браузер, плюс DNS-запросы и обращения к открытым репутационным базам. Активные проверки (поиск открытых файлов, проверка инъекций) запускаются только в PromoPilot Shield и только после подтверждения, что сайт ваш.

Сайт начинает со 100 баллов, за каждую находку вычитается вес по уровню риска: критичные и высокие весят больше всего, «к сведению» — меньше всего. Повторные находки одного уровня весят всё меньше, чтобы десяток мелких замечаний не обнулил оценку. Так же считает PromoPilot Shield.

Вредонос может стоять на внутренних страницах, срабатывать только для мобильных, для переходов из поиска или для Googlebot. Откройте отчёт «Проблемы безопасности» в Google Search Console — там указаны примеры заражённых адресов. После очистки отправьте сайт на повторную проверку оттуда же.

Результат по домену хранится 6 часов, чтобы не нагружать сайты повторными запросами; время проверки указано в отчёте. Если сайт был недоступен, повторить можно через 15 минут. Без регистрации — до 10 новых проверок в сутки, после бесплатной регистрации — втрое больше.

Это та же бесплатная пассивная проверка, что и в Shield. В Shield для подтверждённого сайта доступны глубокий скан (открытые файлы, уязвимости CMS и плагинов, инъекции, клоакинг для Googlebot), ИИ-отчёт с PDF, готовые исправления для .htaccess, nginx и DNS, серверный агент для поиска бэкдоров в файлах и мониторинг с оповещениями.

Проверка сайта на вирусы снаружи: что она реально может

Онлайн-проверка сайта на вирусы работает так же, как браузер посетителя: запрашивает главную страницу и смотрит, что сервер отдал. Если вредоносный код встроен в эту страницу — скрипт-редирект, скрытый iframe, майнер, скиммер на форме оплаты, — его видно. Если вредонос лежит в файлах на сервере и ничего не выводит на главную, внешний сканер его не найдёт, как бы он ни назывался. Поэтому результат «чисто» означает «на главной странице и в публичных базах признаков заражения нет», а не «сайт гарантированно не взломан».

Что видно снаружи	Что снаружи не видно
Код главной страницы: обфусцированный JavaScript, скрытые iframe, скрипты с подозрительных доменов	Веб-шеллы, бэкдоры и заражённые PHP-файлы, которые ничего не выводят
Попадание домена в базы вредоносных URL и спам-листы	Внутренние страницы, если заражены только они
Версии CMS, плагинов и JS-библиотек, если они видны в HTML	Плагины, версии которых в коде страницы не светятся
SSL, редирект на HTTPS, заголовки безопасности, cookies	Вредонос, который показывается только Googlebot, мобильным или посетителям из поиска
SPF, DMARC и другие почтовые записи	Пароли, админку, базу данных

Признаки того, что сайт взломан

Чаще всего о заражении узнают не от сканера, а по симптомам. Стоит насторожиться, если:

в выдаче Google под сайтом появилась пометка о возможном взломе или Chrome показывает красное предупреждение;
посетители с телефона или из поиска попадают на чужой сайт, а при прямом заходе с компьютера всё нормально;
по запросу site:вашдомен находятся страницы, которых вы не создавали: казино, аптеки, иероглифы;
в Search Console есть сообщение в разделе «Проблемы безопасности»;
хостинг заблокировал аккаунт или прислал письмо о вредоносных файлах;
в админке появились незнакомые пользователи, а письма с вашего домена уходят в спам.

Многие из этих признаков — как раз тот вредонос, который прячется от прямого захода. Если симптомы есть, а внешняя проверка чистая, ищите в файлах сервера и в отчёте Search Console: там Google приводит примеры заражённых адресов.

Что делать, если проверка нашла признаки заражения

Сделайте копию сайта и базы в текущем виде — она пригодится, чтобы понять, как именно вас взломали.
Смените пароли: хостинг, FTP/SSH, админка CMS, база данных. Удалите незнакомых администраторов.
Найдите источник. Код из отчёта поищите в файлах темы, в index.php, .htaccess и в базе. Посмотрите файлы, изменённые недавно, и PHP-файлы в папке загрузок — там их быть не должно.
Обновите CMS, плагины и темы, удалите те, которыми не пользуетесь. Устаревший компонент из отчёта — вероятная дверь, через которую вошли.
Проверьте снова и, если сайт был помечен в Google, отправьте запрос на повторную проверку из отчёта «Проблемы безопасности».

Пометка «требует проверки» в отчёте значит, что признак эвристический. Например, обфусцированный код встречается и в легальных счётчиках. Прежде чем удалять, убедитесь, что это не ваш собственный скрипт.

Проверка сайта на уязвимости: с чего начать

Даже без заражения отчёт показывает слабые места. Разумный порядок такой:

Критично и высокий риск — устаревшая CMS или плагин с известными CVE, просроченный сертификат, сайт без HTTPS. Это закрывают первым делом.
Средний риск — нет HSTS и Content-Security-Policy, cookie без Secure, старые TLS 1.0/1.1. Обычно это несколько строк в конфиге сервера. Подробный разбор заголовков даёт Security Headers, сертификата — проверка SSL.
Низкий риск и «к сведению» — раскрытие версии сервера, нет SPF, DMARC или CAA. Почтовые записи защищают от писем, подделанных под ваш домен; их удобно настроить через проверку SPF и DMARC.

Если письма с домена попадают в спам, проверьте ещё и IP сервера в чёрных списках — это отдельная от домена репутация.

Когда внешней проверки мало

Внешний сканер не заменяет проверку файлов. Если сайт уже взламывали, через него принимают оплату или он приносит заметный доход, имеет смысл глубокая проверка с доступом к серверу. В PromoPilot Shield после подтверждения, что сайт ваш, доступны поиск открытых служебных файлов (.git, .env, бэкапы), проверка клоакинга глазами Googlebot, серверный агент только для чтения, который ищет бэкдоры в файлах, и мониторинг с оповещениями о новых угрозах.