Перевірка сайту на віруси та вразливості

Введіть домен — перевіримо головну сторінку ззовні, як її бачить відвідувач: ознаки шкідливого коду, чорні списки, SSL, заголовки безпеки, cookies, застарілу CMS і поштові записи. Без встановлення та реєстрації.

Що перевіряється

Код головної сторінки: обфускований JavaScript, приховані iframe, криптомайнери, ознаки скімера карток, скрипти з підозрілих доменів, ключі API в HTML.
Чорні списки: URLhaus (база шкідливих URL) і Spamhaus DBL.
HTTPS, редирект з HTTP, термін SSL-сертифіката, застарілі TLS 1.0/1.1, змішаний контент.
Заголовки безпеки (HSTS, CSP, X-Frame-Options та ін.), прапорці cookies, розкриття версій сервера.
CMS, плагіни WordPress і JS-бібліотеки, видимі в коді, — звірка версій з базою відомих вразливостей (CVE).
Пошта й DNS: SPF, DMARC, CAA, MTA-STS.

Чого зовнішня перевірка не бачить

Файли на сервері: веб-шели, бекдори й заражені PHP-файли, які нічого не виводять на головну.
Інші сторінки сайту — перевіряється лише головна.
Шкідник, який показується лише Googlebot, мобільним, відвідувачам із пошуку або з певних країн (клоакінг).
Адмінпанель, база даних, паролі, внутрішній код плагінів і їхні версії, якщо вони не видні в HTML.
Відкриті службові файли (.git, .env, бекапи) і вразливості, які знаходяться лише активними пробами, — їх ми на чужих сайтах не запускаємо.

Потрібно більше, ніж погляд ззовні? PromoPilot Shield

Це безкоштовна частина нашого сканера безпеки. У Shield — перевірки, які потребують підтвердження, що сайт ваш:

Глибокий скан ($19 разово): відкриті .git/.env і бекапи, вразливості CMS і плагінів, поверхня ін’єкцій і SSRF, CORS, перевірка клоакінгу й SEO-спаму очима Googlebot. ШІ-звіт із планом виправлення та PDF.
Готові виправлення: .htaccess, конфіг nginx і DNS-записи, зібрані за знайденими проблемами (для платних сканів).
Серверний агент лише для читання: шукає веб-шели, бекдори й впроваджений код у файлах сайту, звіряє цілісність ядра WordPress (з комплексним аудитом або підпискою).
Моніторинг від $12/міс: регулярні пересканування й сповіщення про нові загрози та термін сертифіката.

Докладніше про Shield

Перевірити окремо

Security Headers

Розбір кожного заголовка безпеки з оцінкою A–F.

Перевірка SSL

Сертифікат, ланцюжок довіри, термін дії.

Перевірка у чорних списках

IP сервера в спам-базах DNSBL.

Довіра домену

Технічні сигнали довіри до домену.

Перевірка заголовків

Усі HTTP-заголовки відповіді сервера.

Перевірка сайту на віруси та вразливості онлайн

Інструмент перевіряє сайт ззовні — так, як його бачать відвідувач, браузер і пошуковик. Він завантажує головну сторінку й шукає в її коді ознаки зараження: обфускований JavaScript, приховані iframe, криптомайнери, перехоплення полів банківської картки, скрипти з підозрілих доменів і ключі API в HTML. Домен звіряється з базою шкідливих URL URLhaus і списком Spamhaus DBL. Паралельно перевіряються HTTPS і SSL-сертифікат, застарілі версії TLS, заголовки безпеки, прапорці cookies, версії CMS, плагінів WordPress і JS-бібліотек за базою відомих вразливостей, а також поштові записи SPF, DMARC, CAA і MTA-STS. Перевірка пасивна: ми не перебираємо шляхи, не надсилаємо атакувальних запитів і не чіпаємо адмінку. Підсумок — оцінка від A+ до F і список знахідок за рівнем ризику з поясненнями.

Пошук шкідливого коду на головній: обфускація, приховані iframe, майнери, скімери карток

Перевірка домену в URLhaus і Spamhaus DBL

Версії CMS, плагінів WordPress і JS-бібліотек проти бази CVE

SSL-сертифікат, TLS 1.0/1.1, редирект на HTTPS, змішаний контент

Заголовки безпеки та прапорці cookies

SPF, DMARC, CAA, MTA-STS — захист від підробки листів

Як користуватися

Введіть домен або адресу будь-якої сторінки сайту — перевіряється головна сторінка цього домену
Дочекайтеся завершення перевірки — зазвичай це від 5 до 30 секунд
Почніть зі знахідок рівня «Критично» й «Високий ризик», потім закрийте решту

FAQ

Ні. Зовнішня перевірка бачить лише те, що сайт віддає у відповідь на звичайний запит до головної сторінки. Бекдори й веб-шели у файлах сервера, заражені внутрішні сторінки й шкідник, який показується лише Googlebot або відвідувачам із певних країн, вона може пропустити. Якщо ви підозрюєте злам, перевірте файли на сервері.

Так, бо перевірка пасивна: вона робить ті самі запити, що й звичайний браузер, плюс DNS-запити та звернення до відкритих репутаційних баз. Активні перевірки (пошук відкритих файлів, перевірка ін’єкцій) запускаються лише в PromoPilot Shield і лише після підтвердження, що сайт ваш.

Сайт починає зі 100 балів, за кожну знахідку віднімається вага за рівнем ризику: критичні й високі важать найбільше, «до відома» — найменше. Повторні знахідки одного рівня важать дедалі менше, щоб десяток дрібних зауважень не обнулив оцінку. Так само рахує PromoPilot Shield.

Шкідник може стояти на внутрішніх сторінках, спрацьовувати лише для мобільних, для переходів із пошуку або для Googlebot. Відкрийте звіт «Проблеми безпеки» в Google Search Console — там вказано приклади заражених адрес. Після очищення надішліть сайт на повторну перевірку звідти ж.

Результат за доменом зберігається 6 годин, щоб не навантажувати сайти повторними запитами; час перевірки вказано у звіті. Якщо сайт був недоступний, повторити можна за 15 хвилин. Без реєстрації — до 10 нових перевірок на добу, після безкоштовної реєстрації — втричі більше.

Це та сама безкоштовна пасивна перевірка, що й у Shield. У Shield для підтвердженого сайту доступні глибокий скан (відкриті файли, вразливості CMS і плагінів, ін’єкції, клоакінг для Googlebot), ШІ-звіт із PDF, готові виправлення для .htaccess, nginx і DNS, серверний агент для пошуку бекдорів у файлах і моніторинг зі сповіщеннями.

Перевірка сайту на віруси ззовні: що вона насправді може

Онлайн-перевірка сайту на віруси працює так само, як браузер відвідувача: запитує головну сторінку й дивиться, що віддав сервер. Якщо шкідливий код вбудовано в цю сторінку — скрипт-редирект, прихований iframe, майнер, скімер на формі оплати, — його видно. Якщо шкідник лежить у файлах на сервері й нічого не виводить на головну, зовнішній сканер його не знайде, хоч як би той називався. Тому результат «чисто» означає «на головній сторінці й у публічних базах ознак зараження немає», а не «сайт гарантовано не зламано».

Що видно ззовні	Чого ззовні не видно
Код головної сторінки: обфускований JavaScript, приховані iframe, скрипти з підозрілих доменів	Веб-шели, бекдори й заражені PHP-файли, які нічого не виводять
Наявність домену в базах шкідливих URL і спам-листах	Внутрішні сторінки, якщо заражені лише вони
Версії CMS, плагінів і JS-бібліотек, якщо вони видні в HTML	Плагіни, версії яких у коді сторінки не світяться
SSL, редирект на HTTPS, заголовки безпеки, cookies	Шкідник, який показується лише Googlebot, мобільним або відвідувачам із пошуку
SPF, DMARC та інші поштові записи	Паролі, адмінку, базу даних

Ознаки того, що сайт зламано

Найчастіше про зараження дізнаються не від сканера, а за симптомами. Варто насторожитися, якщо:

у видачі Google під сайтом з’явилася позначка про можливий злам або Chrome показує червоне попередження;
відвідувачі з телефона чи з пошуку потрапляють на чужий сайт, а за прямого заходу з комп’ютера все гаразд;
за запитом site:вашдомен знаходяться сторінки, яких ви не створювали: казино, аптеки, ієрогліфи;
у Search Console є повідомлення в розділі «Проблеми безпеки»;
хостинг заблокував акаунт або надіслав лист про шкідливі файли;
в адмінці з’явилися незнайомі користувачі, а листи з вашого домену потрапляють у спам.

Багато з цих ознак — саме той шкідник, що ховається від прямого заходу. Якщо симптоми є, а зовнішня перевірка чиста, шукайте у файлах сервера та у звіті Search Console: там Google наводить приклади заражених адрес.

Що робити, якщо перевірка знайшла ознаки зараження

Зробіть копію сайту й бази в поточному стані — вона знадобиться, щоб зрозуміти, як саме вас зламали.
Змініть паролі: хостинг, FTP/SSH, адмінка CMS, база даних. Видаліть незнайомих адміністраторів.
Знайдіть джерело. Код зі звіту пошукайте у файлах теми, в index.php, .htaccess і в базі. Перегляньте нещодавно змінені файли та PHP-файли в теці завантажень — їх там бути не повинно.
Оновіть CMS, плагіни й теми, видаліть ті, якими не користуєтеся. Застарілий компонент зі звіту — ймовірні двері, через які увійшли.
Перевірте знову і, якщо сайт було позначено в Google, надішліть запит на повторну перевірку зі звіту «Проблеми безпеки».

Позначка «потребує перевірки» у звіті означає, що ознака евристична. Наприклад, обфускований код трапляється й у легальних лічильниках. Перш ніж видаляти, переконайтеся, що це не ваш власний скрипт.

Перевірка сайту на вразливості: з чого почати

Навіть без зараження звіт показує слабкі місця. Розумний порядок такий:

Критично й високий ризик — застаріла CMS чи плагін із відомими CVE, прострочений сертифікат, сайт без HTTPS. Це закривають насамперед.
Середній ризик — немає HSTS і Content-Security-Policy, cookie без Secure, старі TLS 1.0/1.1. Зазвичай це кілька рядків у конфігу сервера. Детальний розбір заголовків дає Security Headers, сертифіката — перевірка SSL.
Низький ризик і «до відома» — розкриття версії сервера, немає SPF, DMARC чи CAA. Поштові записи захищають від листів, підроблених під ваш домен; їх зручно налаштувати через перевірку SPF і DMARC.

Якщо листи з домену потрапляють у спам, перевірте ще й IP сервера в чорних списках — це окрема від домену репутація.

Коли зовнішньої перевірки замало

Зовнішній сканер не замінює перевірку файлів. Якщо сайт уже зламували, через нього приймають оплату або він приносить помітний дохід, має сенс глибока перевірка з доступом до сервера. У PromoPilot Shield після підтвердження, що сайт ваш, доступні пошук відкритих службових файлів (.git, .env, бекапи), перевірка клоакінгу очима Googlebot, серверний агент лише для читання, який шукає бекдори у файлах, і моніторинг зі сповіщеннями про нові загрози.