Przeskanuj stronę przed premierą. Jedna kontrola obejmuje to, co umyka w dniu premiery: klucze API w Twoim JavaScripcie, publiczny folder .env lub .git, mapy źródeł, słabe nagłówki bezpieczeństwa, mieszaną zawartość, zapomniany noindex oraz brakujące tytuły, tagi udostępniania i faviconę. Jest darmowe, a nic, co skanujesz, nie jest przechowywane.
Jak przeskanować stronę, krok po kroku
- Wpisz adres swojej strony w polu adresu.
- Naciśnij Skanuj stronę i poczekaj chwilę.
- Przeczytaj wyniki. Użyj kart, aby zobaczyć Wszystkie kontrole lub jedną kategorię: Pliki i sekrety, Bezpieczeństwo, Wyszukiwanie i udostępnianie albo Podstawy.
- Napraw to, co zostało oznaczone, wdróż i przeskanuj ponownie, aby potwierdzić.
Czego szuka skan
Odsłonięte pliki i sekrety: klucze API, tokeny i klucze prywatne w Twoim HTML i skryptach; publiczne pliki .env, .git i config.json; oraz mapy źródeł, które publikują Twój oryginalny kod. Bezpieczeństwo: HTTPS i przekierowanie ze zwykłego HTTP, główne nagłówki bezpieczeństwa, flagi ciasteczek, mieszana zawartość i kontakt security.txt. Wyszukiwanie i udostępnianie: tytuł, opis i tagi Open Graph, robots.txt, sitemap.xml i każdy noindex pozostawiony z etapu testowego. Podstawy: viewport, język strony, favicona i linki do polityki prywatności i regulaminu.
Co się dzieje po zeskanowaniu
To narzędzie wykonuje żądania sieciowe, więc oto dokładnie, co robi. Serwer Snowkit pobiera Twoją stronę główną, robots.txt, sitemap.xml, security.txt, faviconę, do 5 Twoich skryptów i ich mapy źródeł oraz 4 typowe ścieżki wycieków. To maksymalnie 30 żądań, bez przeszukiwania. Klucze i tagi są sprawdzane w Twojej przeglądarce, a nic nie jest przechowywane. Skanuj tylko strony, które prowadzisz lub które masz pozwolenie testować.
Jeśli pojawi się klucz
Traktuj go jako wyciekły, nawet jeśli strona nie jest jeszcze publiczna. Najpierw odwołaj lub zmień go u dostawcy, a potem przenieś z kodu front-end do zmiennej środowiskowej po stronie serwera lub funkcji backendu. Klucze przeznaczone dla przeglądarek, takie jak publiczne klucze płatności lub ograniczone klucze map, można bezpiecznie publikować, ale zablokuj je do swojej domeny w panelu dostawcy.
Czego nie widzi
Sprawdza stronę główną i pliki, do których linkuje, a nie każdą stronę. Treść, która pojawia się dopiero po uruchomieniu JavaScriptu, strony za logowaniem i kod po stronie serwera nie są dla niego widoczne. Czysty skan oznacza, że typowe błędy premiery są pokryte, a nie że strona jest w pełni bezpieczna.
Prosta lista kontrolna premiery
- Uruchom skan na prawdziwym adresie, a nie na linku roboczym.
- Usuń każdy noindex pozostawiony z etapu testowego.
- Dodaj tytuł, opis i obraz do udostępniania do każdej ważnej strony za pomocą generatora meta tagów.
- Opublikuj mapę witryny za pomocą generatora mapy witryny i stronę prywatności za pomocą generatora polityki prywatności.
- Sprawdź własny kod za pomocą skanera sekretów, zanim wdrożysz.
Pytania
Czy mogę przeskanować dowolną stronę?
Skanuj tylko strony, które prowadzisz lub które masz pozwolenie testować.
Czy przechowuje moje wyniki?
Nie. Nic, co skanujesz, nie jest przechowywane.
Czy czysty wynik jest gwarancją?
Nie. Obejmuje typowe błędy przed premierą na stronach, które widzi, a nie każdą możliwą słabość.