# בדיקת אתר בחינם: מה היא בודקת ומה היא לא יכולה לדעת

> בדיקת אתר בחינם קוראת את מה שהאתר מציג כלפי חוץ: כותרות, תעודה, רשומות מייל ומהירות במעבדה. מה היא יכולה לומר לכם, ומה היא לא יכולה לדעת.

- עמוד באתר: https://sporesec.com/he/blog/free-website-check-what-it-covers
- שפה: עברית
- עודכן לאחרונה: 2026-10-30
- זמין גם בשפה English: https://sporesec.com/en/blog/free-website-check-what-it-covers.md

## תשובה

בדיקת אתר בחינם קוראת את מה שהאתר מציג כלפי חוץ: כותרות, תעודה, רשומות מייל ומהירות במעבדה. מה היא יכולה לומר לכם, ומה היא לא יכולה לדעת.

- מאת מהדי לורנס גריבקוב
- פורסם: 2026-10-30
- אתרים, 6 דקות קריאה
- מילות מפתח: בדיקת אתר בחינם, בדיקת אתרים, בדיקת אבטחת אתר, סריקת אתר

בדיקת אתר בחינם קוראת את מה שהאתר והדומיין שלכם מציגים כלפי חוץ: רשומות DNS, התעודה, כותרות התגובה, רשומות אימות המייל, ומהירות הטעינה בבדיקת מעבדה. היא לא רואה מה קורה בתוך השרת, בתוספים, בסיסמאות, או איך מבקרים אמיתיים חווים את האתר. חשבו עליה כעל גלאי עשן, לא כעל ביקורת מקצועית.

הנה מה שכל חלק בבדיקה כזו יכול ולא יכול לומר לכם, ואילו תקנים עומדים מאחוריו.

### מה בדיקה חינמית יכולה לקרוא מבחוץ?

כל מה שברשימה הזו פומבי מעצם התכנון, ולכן כלי יכול לבדוק אותו בלי להתחבר.

- **כותרות אבטחה.** כותרות כמו Strict-Transport-Security (אומרת לדפדפן להשתמש ב-HTTPS בלבד) ו-Content-Security-Policy (מגבילה מה הדף רשאי לטעון) נשלחות עם כל תגובה. MDN מתעד את שתיהן: [Strict-Transport-Security](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security) ו-[Content-Security-Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy) (נקראו ב-2026-10-07). ה-[HTTP Observatory](https://developer.mozilla.org/en-US/blog/mdn-http-observatory-launch/) של Mozilla (2 ביולי 2024, נקרא ב-2026-10-07) נותן ציון לאתרים לפי הגדרות כאלה.
- **התעודה ו-TLS.** האם האתר מוגש ב-HTTPS עם תעודה תקפה. תעודות גם הופכות לקצרות יותר: CA/Browser Forum אישר את [SC081v3](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/) (פורסם ב-11 באפריל 2025), ו[דרישות הבסיס](https://cabforum.org/working-groups/server/baseline-requirements/requirements/) (סעיף 6.3.2, נקראו ב-2026-10-07) קובעות עכשיו תוקף מרבי של 200 ימים לתעודות מנוי מ-15 במרץ 2026 (במקום 398), 100 ימים מ-15 במרץ 2027 ו-47 ימים מ-15 במרץ 2029. הצעד הראשון כבר בתוקף. החידוש חייב להיות אוטומטי, כי אף אחד לא מחדש ידנית כל כמה שבועות.
- **אימות מייל.** רשומות SPF, DKIM ו-DMARC נמצאות ב-DNS. [הנחיות השולחים של Google](https://support.google.com/a/answer/81126) (נקראו ב-2026-10-07) מחייבות אימות מכל השולחים ל-Gmail, ומי ששולח יותר מ-5,000 הודעות ביום לחשבונות Gmail, מאז 1 בפברואר 2024, נדרש ל-SPF, DKIM ו-DMARC יחד עם ביטול הרשמה בלחיצה אחת בדיוור שיווקי. Google גם מבקשת לשמור על שיעור ספאם נמוך מ-0.10% בכלי Postmaster ולעולם לא להגיע ל-0.30%. ל-DMARC עצמו יש עכשיו מפרט חדש: [RFC 9989](https://www.rfc-editor.org/info/rfc9989) (פורסם במאי 2026, נקרא ב-2026-10-07) הוא Proposed Standard שמחליף את RFC 7489 ואת RFC 9091.
- **מהירות דף במעבדה.** בדיקת מעבדה טוענת את הדף פעם אחת, בתנאים קבועים, ומודדת אותו. [Core Web Vitals](https://web.dev/articles/vitals) של Google (עודכן לאחרונה ב-31 באוקטובר 2024, נקרא ב-2026-10-07) קובעים ספי "טוב": Largest Contentful Paint תוך 2.5 שניות, Interaction to Next Paint של 200 אלפיות שנייה או פחות, ו-Cumulative Layout Shift של 0.1 או פחות, במדידה באחוזון ה-75 של טעינות אמיתיות.

### מה בדיקה חינמית לא יכולה לומר לכם?

זה החלק שהציון מסתיר.

- **מבקרים אמיתיים.** מספר מעבדה הוא טעינה אחת במכשיר מדומה אחד. הספים באחוזון ה-75 שלמעלה מתייחסים לנתוני שטח של משתמשים אמיתיים, ולסריקה חד־פעמית אין כאלה.
- **נגישות.** [ההנחיה של W3C על כלי הערכה](https://www.w3.org/WAI/test-evaluate/tools/selecting/) (עודכנה ב-13 במאי 2024, נקראה ב-2026-10-07) קובעת שכלים לא יכולים לבדוק אוטומטית כל היבט, ושנדרש שיקול דעת אנושי. תוצאה ירוקה בכלי אוטומטי היא לא הצהרת עמידה בתקן.
- **מה שמאחורי הדלת.** [השאלות הנפוצות של Observatory](https://developer.mozilla.org/en-US/observatory/docs/faq) (נקראו ב-2026-10-07) אומרות שהוא לא בודק גרסאות תוכנה מיושנות, SQL injection, תוספי CMS פגיעים או אופן שמירת הסיסמאות. אף בדיקה חיצונית לא רואה את אלה, ולכן ציון נקי בכותרות לא אומר שהאתר מאובטח.
- **DKIM במלואו.** רשומת DKIM יושבת תחת שם שבוחר מי שמקים את שירות המייל, וב-DNS אין דרך למנות את השמות האלה. סריקה יכולה לחפש את השמות שספק מייל מוכר מתעד. אם הספק שלכם לא מוכר לה, התשובה הכנה היא "לא ניתן לבדוק", לא "חסר". הסריקה שלנו מדווחת כך.
- **תוצאה נקייה בתוכנות זדוניות.** אף רשימה של אתרים מסוכנים אינה שלמה. חלק מהאתרים המסוכנים חסרים בכל רשימה, וחלק מהאתרים הבטוחים נכללים בה בטעות, ולכן תוצאה נקייה אינה ערובה לכך שהאתר בטוח.

### איך להשתמש בבדיקה חינמית?

השתמשו בה כדי למצוא את התיקונים הזולים והחשובים: אימות מייל חסר, כותרת HSTS חסרה, תעודה שמתחדשת ידנית. אחר כך החליטו מה דורש בן אדם: סקירת נגישות, ביקורת על תוספים ועדכונים, מבט בנתוני מהירות אמיתיים. [סריקת האתר החינמית שלנו](https://sporesec.com/he/tools) קוראת את האותות החיצוניים שלמעלה ואומרת "לא ניתן לבדוק" במקום שבו היא לא יכולה לדעת. אם משהו שהיא מציגה דורש תיקון, ב[הקמת האבטחה](https://sporesec.com/he/services/security) אנחנו מטפלים בזה.

### מה לעשות השבוע

1. הריצו בדיקה על הדומיין שלכם ורשמו כל פריט שמסומן כחסר או כנכשל, וכל פריט שמסומן שלא ניתן היה לבדוק אותו.
2. תקנו קודם את רשומות המייל (SPF, DKIM, DMARC) אם אתם שולחים מיילים ללקוחות: זה הנושא שיש מאחוריו כלל שולחים מפורסם.
3. העבירו את חידוש התעודה לאוטומטי, ושאלו את מי שמתחזק את האתר מתי היה העדכון האחרון של התוספים והתוכנה.

### מקורות

- [Email sender guidelines, Google](https://support.google.com/a/answer/81126), נקרא ב-2026-10-07.
- [RFC 9989, DMARC, IETF](https://www.rfc-editor.org/info/rfc9989), נקרא ב-2026-10-07.
- [Introducing the MDN HTTP Observatory, MDN](https://developer.mozilla.org/en-US/blog/mdn-http-observatory-launch/), 2 ביולי 2024, נקרא ב-2026-10-07.
- [Observatory FAQ, MDN](https://developer.mozilla.org/en-US/observatory/docs/faq), נקרא ב-2026-10-07.
- [Strict-Transport-Security, MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security), נקרא ב-2026-10-07.
- [Content-Security-Policy, MDN](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy), נקרא ב-2026-10-07.
- [Web Vitals, web.dev](https://web.dev/articles/vitals), עודכן ב-31 באוקטובר 2024, נקרא ב-2026-10-07.
- [Selecting Web Accessibility Evaluation Tools, W3C WAI](https://www.w3.org/WAI/test-evaluate/tools/selecting/), עודכן ב-13 במאי 2024, נקרא ב-2026-10-07.
- [Ballot SC081v3, CA/Browser Forum](https://cabforum.org/2025/04/11/ballot-sc081v3-introduce-schedule-of-reducing-validity-and-data-reuse-periods/), פורסם ב-11 באפריל 2025, נקרא ב-2026-10-07.
- [Baseline Requirements, section 6.3.2, CA/Browser Forum](https://cabforum.org/working-groups/server/baseline-requirements/requirements/), נקרא ב-2026-10-07.

### קשור

- [סריקת אתר חינם](https://sporesec.com/he/tools)
- [הקמת אבטחה לעסקים קטנים](https://sporesec.com/he/services/security)

## שאלות ותשובות

### מה בדיקת אתר בחינם בודקת בפועל?

אותות פומביים: כותרות אבטחה, תעודת TLS, רשומות אימות מייל ב-DNS (SPF, DKIM, DMARC) ובדיקת מהירות במעבדה. היא לא מתחברת ולא מסתכלת בתוך השרת.

### ציון טוב בכותרות אבטחה אומר שהאתר מאובטח?

לא. בשאלות הנפוצות של Observatory ב-Mozilla כתוב שהוא לא בודק תוכנה מיושנת, SQL injection, תוספי CMS פגיעים ושמירת סיסמאות, ושבעלי אתרים לא צריכים להזניח אותם בגלל ציון טוב.

### בדיקה אוטומטית יכולה להגיד אם האתר נגיש?

רק חלקית. ה-W3C קובע שכלים לא יכולים לבדוק אוטומטית כל היבט של נגישות ושנדרש שיקול דעת אנושי, ולכן תוצאה ירוקה היא לא הצהרת עמידה בתקן.


## הצעד הבא

- לקביעת שיחת היכרות חינם: https://sporesec.com/he/book.md
- בלוג: https://sporesec.com/he/blog.md

---

- יצירת קשר: contact@sporesec.com | WhatsApp https://wa.me/972532322318 | https://sporesec.com/he/contact.md
- לקביעת שיחת היכרות חינם: https://sporesec.com/he/book.md
- נתוני האתר לקריאה ממוחשבת: https://sporesec.com/llms.txt | https://sporesec.com/agents/he/index.json