בדיקת אתר בחינם קוראת את מה שהאתר והדומיין שלכם מציגים כלפי חוץ: רשומות DNS, התעודה, כותרות התגובה, רשומות אימות המייל, ומהירות הטעינה בבדיקת מעבדה. היא לא רואה מה קורה בתוך השרת, בתוספים, בסיסמאות, או איך מבקרים אמיתיים חווים את האתר. חשבו עליה כעל גלאי עשן, לא כעל ביקורת מקצועית.
הנה מה שכל חלק בבדיקה כזו יכול ולא יכול לומר לכם, ואילו תקנים עומדים מאחוריו.
מה בדיקה חינמית יכולה לקרוא מבחוץ?
כל מה שברשימה הזו פומבי מעצם התכנון, ולכן כלי יכול לבדוק אותו בלי להתחבר.
- כותרות אבטחה. כותרות כמו Strict-Transport-Security (אומרת לדפדפן להשתמש ב-HTTPS בלבד) ו-Content-Security-Policy (מגבילה מה הדף רשאי לטעון) נשלחות עם כל תגובה. MDN מתעד את שתיהן: Strict-Transport-Security ו-Content-Security-Policy (נקראו ב-2026-10-07). ה-HTTP Observatory של Mozilla (2 ביולי 2024, נקרא ב-2026-10-07) נותן ציון לאתרים לפי הגדרות כאלה.
- התעודה ו-TLS. האם האתר מוגש ב-HTTPS עם תעודה תקפה. תעודות גם הופכות לקצרות יותר: CA/Browser Forum אישר את SC081v3 (פורסם ב-11 באפריל 2025), ודרישות הבסיס (סעיף 6.3.2, נקראו ב-2026-10-07) קובעות עכשיו תוקף מרבי של 200 ימים לתעודות מנוי מ-15 במרץ 2026 (במקום 398), 100 ימים מ-15 במרץ 2027 ו-47 ימים מ-15 במרץ 2029. הצעד הראשון כבר בתוקף. החידוש חייב להיות אוטומטי, כי אף אחד לא מחדש ידנית כל כמה שבועות.
- אימות מייל. רשומות SPF, DKIM ו-DMARC נמצאות ב-DNS. הנחיות השולחים של Google (נקראו ב-2026-10-07) מחייבות אימות מכל השולחים ל-Gmail, ומי ששולח יותר מ-5,000 הודעות ביום לחשבונות Gmail, מאז 1 בפברואר 2024, נדרש ל-SPF, DKIM ו-DMARC יחד עם ביטול הרשמה בלחיצה אחת בדיוור שיווקי. Google גם מבקשת לשמור על שיעור ספאם נמוך מ-0.10% בכלי Postmaster ולעולם לא להגיע ל-0.30%. ל-DMARC עצמו יש עכשיו מפרט חדש: RFC 9989 (פורסם במאי 2026, נקרא ב-2026-10-07) הוא Proposed Standard שמחליף את RFC 7489 ואת RFC 9091.
- מהירות דף במעבדה. בדיקת מעבדה טוענת את הדף פעם אחת, בתנאים קבועים, ומודדת אותו. Core Web Vitals של Google (עודכן לאחרונה ב-31 באוקטובר 2024, נקרא ב-2026-10-07) קובעים ספי ”טוב”: Largest Contentful Paint תוך 2.5 שניות, Interaction to Next Paint של 200 אלפיות שנייה או פחות, ו-Cumulative Layout Shift של 0.1 או פחות, במדידה באחוזון ה-75 של טעינות אמיתיות.
מה בדיקה חינמית לא יכולה לומר לכם?
זה החלק שהציון מסתיר.
- מבקרים אמיתיים. מספר מעבדה הוא טעינה אחת במכשיר מדומה אחד. הספים באחוזון ה-75 שלמעלה מתייחסים לנתוני שטח של משתמשים אמיתיים, ולסריקה חד־פעמית אין כאלה.
- נגישות. ההנחיה של W3C על כלי הערכה (עודכנה ב-13 במאי 2024, נקראה ב-2026-10-07) קובעת שכלים לא יכולים לבדוק אוטומטית כל היבט, ושנדרש שיקול דעת אנושי. תוצאה ירוקה בכלי אוטומטי היא לא הצהרת עמידה בתקן.
- מה שמאחורי הדלת. השאלות הנפוצות של Observatory (נקראו ב-2026-10-07) אומרות שהוא לא בודק גרסאות תוכנה מיושנות, SQL injection, תוספי CMS פגיעים או אופן שמירת הסיסמאות. אף בדיקה חיצונית לא רואה את אלה, ולכן ציון נקי בכותרות לא אומר שהאתר מאובטח.
- DKIM במלואו. רשומת DKIM יושבת תחת שם שבוחר מי שמקים את שירות המייל, וב-DNS אין דרך למנות את השמות האלה. סריקה יכולה לחפש את השמות שספק מייל מוכר מתעד. אם הספק שלכם לא מוכר לה, התשובה הכנה היא ”לא ניתן לבדוק”, לא ”חסר”. הסריקה שלנו מדווחת כך.
- תוצאה נקייה בתוכנות זדוניות. אף רשימה של אתרים מסוכנים אינה שלמה. חלק מהאתרים המסוכנים חסרים בכל רשימה, וחלק מהאתרים הבטוחים נכללים בה בטעות, ולכן תוצאה נקייה אינה ערובה לכך שהאתר בטוח.
איך להשתמש בבדיקה חינמית?
השתמשו בה כדי למצוא את התיקונים הזולים והחשובים: אימות מייל חסר, כותרת HSTS חסרה, תעודה שמתחדשת ידנית. אחר כך החליטו מה דורש בן אדם: סקירת נגישות, ביקורת על תוספים ועדכונים, מבט בנתוני מהירות אמיתיים. סריקת האתר החינמית שלנו קוראת את האותות החיצוניים שלמעלה ואומרת ”לא ניתן לבדוק” במקום שבו היא לא יכולה לדעת. אם משהו שהיא מציגה דורש תיקון, בהקמת האבטחה אנחנו מטפלים בזה.
מה לעשות השבוע
- הריצו בדיקה על הדומיין שלכם ורשמו כל פריט שמסומן כחסר או כנכשל, וכל פריט שמסומן שלא ניתן היה לבדוק אותו.
- תקנו קודם את רשומות המייל (SPF, DKIM, DMARC) אם אתם שולחים מיילים ללקוחות: זה הנושא שיש מאחוריו כלל שולחים מפורסם.
- העבירו את חידוש התעודה לאוטומטי, ושאלו את מי שמתחזק את האתר מתי היה העדכון האחרון של התוספים והתוכנה.
מקורות
- Email sender guidelines, Google, נקרא ב-2026-10-07.
- RFC 9989, DMARC, IETF, נקרא ב-2026-10-07.
- Introducing the MDN HTTP Observatory, MDN, 2 ביולי 2024, נקרא ב-2026-10-07.
- Observatory FAQ, MDN, נקרא ב-2026-10-07.
- Strict-Transport-Security, MDN, נקרא ב-2026-10-07.
- Content-Security-Policy, MDN, נקרא ב-2026-10-07.
- Web Vitals, web.dev, עודכן ב-31 באוקטובר 2024, נקרא ב-2026-10-07.
- Selecting Web Accessibility Evaluation Tools, W3C WAI, עודכן ב-13 במאי 2024, נקרא ב-2026-10-07.
- Ballot SC081v3, CA/Browser Forum, פורסם ב-11 באפריל 2025, נקרא ב-2026-10-07.
- Baseline Requirements, section 6.3.2, CA/Browser Forum, נקרא ב-2026-10-07.