Перевірка довіри домену

Перевірка сайту на довіру: що насправді оцінює інструмент

Одразу головне: ця перевірка дивиться на технічну охайність сайту. Це не антивірус, не база шахраїв і не збірка відгуків. Інструмент завантажує вказану сторінку, а також robots.txt, sitemap.xml і DNS домену та виконує 15 перевірок. Кожна має свою вагу, разом 100 балів:

Вводьте адресу з https:// або без протоколу. Сертифікат зчитується під час першого з'єднання, тому для адреси з http:// пункт SSL може не зарахуватися, навіть якщо сайт далі переводить на https.

Висока оцінка не означає, що сайту можна довіряти гроші

Шахраї давно навчилися технічної гігієни. Безкоштовний сертифікат Let's Encrypt випускається за хвилину, заголовки безпеки копіюються з будь-якої інструкції, а готові шаблони магазинів уже містять Open Graph і Schema.org. Фішингова копія відомого магазину може набрати 90+ балів, а чесний невеликий магазин на старій CMS отримати 50 лише тому, що власник не налаштовував HSTS.

Інструмент не перевіряє вік домену, відгуки, скарги, реквізити компанії та наявність сайту в базах шкідливих ресурсів. Тож на питання «чи можна тут купувати» він відповідає лише частково: низька оцінка — привід придивитися, висока — ще не гарантія. Остаточну відповідь дає чек-лист нижче.

Рівень довіри до сайту: як читати бали і чим це відрізняється від «трасту»

Шкала така: 80–100 — «Відмінно», 60–79 — «Добре», 40–59 — «Середньо», нижче 40 — «Погано». Під оцінкою кожна перевірка підписана: що знайдено або чого бракує. Сайти великих компаній зазвичай втрачають бали на CSP і X-Frame-Options, а невеликі сайти на конструкторах — на HSTS, sitemap і розмітці. Це нормально й саме по собі нічого не каже про чесність власника.

У SEO «трастом» називають інше: наскільки домен авторитетний для пошуковика. Такої метрики Google публічно не показує, а сторонні сервіси оцінюють її за посилальним профілем, наприклад через Domain Rating. Щоб перевірити ці показники домену, дивіться кількість доменів, що посилаються, і DR. Що вони означають і де їх брати, пояснює стаття про Domain Rating. Технічні сигнали з цього звіту — фундамент, але позиції вони майже не рухають.

Як перевірити сайт на шахрайство перед покупкою: чек-лист

1. Адреса в рядку браузера. Шукайте зайві слова та літери: brandname-sale.shop, brandname-ua.top, brandname.ua.oplata-online.top, де brandname — відомий магазин. Справжній домен в останньому прикладі — oplata-online.top, усе ліворуч — піддомени, які власник створює як завгодно.
2. Вік домену. Магазин із «15 роками на ринку» на домені, зареєстрованому місяць тому, — найчастіша ознака фейку. Перевіряється за секунди в перевірці віку домену.
3. Реквізити. Справжній продавець вказує ТОВ або ФОП, код ЄДРПОУ чи РНОКПП та адресу. Знайдіть компанію в ЄДР і звірте назву й дату реєстрації.
4. Ціна. Знижка 50–70% на ходовий товар (смартфони, техніка, брендовий одяг) майже завжди означає приманку.
5. Оплата. Лише передоплата на картку фізособи, криптовалютою або «через сервіс безпечної угоди» за посиланням із месенджера — стоп. Накладений платіж чи оплата карткою на платіжній сторінці банку безпечніші, а за оплатою карткою можна ініціювати чарджбек.
6. Зв'язок. Тільки Telegram або Viber, немає телефону й пошти на домені сайту. Погляньте й на MX у звіті: якщо пошта в домену не налаштована, писати на «info@» цього сайту марно.
7. Відгуки поза сайтом. Відгуки на самому сайті пише власник. Шукайте назву магазину й домен у Google Картах, на незалежних майданчиках відгуків і на форумах, додаючи слова «відгуки», «шахраї», «розвод».
8. Фото й тексти. Пошук за зображенням (Google Lens) швидко показує, що «фото нашого складу» взято з чужого сайту.
9. Правові сторінки. Умови повернення, доставки й політика конфіденційності, скопійовані з іншого магазину разом із його назвою, — часта знахідка.

Де ще перевірити сайт на безпеку

• Google Safe Browsing: у звіті про прозорість Google (transparencyreport.google.com) є перевірка статусу сайту. Там видно, чи вважає Google адресу фішинговою або зараженою.
• VirusTotal перевіряє URL одразу за десятками антивірусних баз.
• Телефон і реквізити для оплати. Вбийте в пошук номер телефону продавця та номер картки чи рахунку, на який просять переказати гроші: за ними часто знаходяться скарги інших покупців, навіть якщо домен у шахраїв уже новий.
• WHOIS показує дату реєстрації, реєстратора й країну. Приховані дані власника — норма, а домен, зареєстрований учора, — ні.
• Сертифікат: замок у браузері означає лише шифрування з'єднання. Кому й коли видано сертифікат, покаже перевірка SSL.

Якщо ви вже заплатили шахраям, одразу телефонуйте в банк за номером на картці й просіть заблокувати картку та оскаржити платіж. Потім подайте заяву до кіберполіції, онлайн-форма є на її сайті.

Як підвищити рівень довіри до свого сайту

Якщо ви власник і хочете, щоб сайт виглядав надійно і для людей, і для цієї перевірки, більшість пунктів закривається за годину. Заголовки безпеки для nginx:

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Content-Security-Policy-Report-Only "default-src 'self' https:; img-src * data:" always;

В Apache те саме задається через Header always set у .htaccess, якщо ввімкнено mod_headers. CSP починайте з режиму Report-Only: сувора політика, увімкнена одразу, легко ламає лічильники, чати й платіжні віджети. Поза заголовками:

• додайте robots.txt із рядком Sitemap: і саму карту сайту;
• розмітку організації в JSON-LD (Organization або LocalBusiness) з назвою, адресою й телефоном; це ті самі реквізити, які шукають покупці;
• canonical, lang, viewport, favicon та Open Graph, якщо їх ще немає;
• пошту на домені (MX-записи) замість gmail у контактах.

Які заголовки вже стоять і з якими значеннями, докладно розбирає перевірка заголовків безпеки. Що означає кожен заголовок, пояснює словник: заголовки безпеки.