Audyt bezpieczeństwa

Bezpieczeństwo strony internetowej to nie tylko certyfikat SSL — to kompleksowy zestaw konfiguracji chroniących użytkowników i dane firmy przed atakami. Niezabezpieczona strona to ryzyko wycieku danych klientów, defacementu, ataków phishingowych i utraty zaufania marki.

Co roku tysiące polskich stron pada ofiarą ataków — od prostego defacementu po kradzież danych z formularzy. Większość incydentów można by zapobiec podstawowym hardeningiem: prawidłowymi nagłówkami HTTP, aktualnymi bibliotekami i wymuszeniem HTTPS.

Moduł Security ResQode Intelligence przeprowadza zewnętrzny audyt bezpieczeństwa bez ingerencji w serwer — analizując odpowiedzi HTTP, certyfikaty, skrypty i konfigurację widoczną z perspektywy użytkownika i atakującego.

Sprawdzamy certyfikat SSL/TLS, redirect HTTP→HTTPS, mixed content (zasoby HTTP na stronie HTTPS), nagłówki bezpieczeństwa (CSP, HSTS, X-Frame-Options). Wykrywamy potencjalne wektory XSS poprzez analizę inline scripts i niebezpiecznych atrybutów DOM.

Analizujemy wersje bibliotek JavaScript (jQuery, React, Angular) pod kątem znanych podatności CVE. Weryfikujemy obecność informacji wyciekowych w nagłówkach HTTP (Server, X-Powered-By) i kodzie źródłowym. Sprawdzamy konfigurację CORS i cookies (Secure, HttpOnly, SameSite).

Raport Security zawiera wynik punktowy i listę podatności z CVSS score oraz rekomendacjami naprawy. Krytyczne problemy wymagają natychmiastowej interwencji — moduł wyraźnie je wyróżnia.

HTTPS to absolutne minimum bezpieczeństwa strony w 2025 roku. Przeglądarki oznaczają strony HTTP jako „Niezabezpieczone", Google obniża ranking stron bez SSL, a formularze na HTTP narażają dane użytkowników na przechwycenie. Audyt Security weryfikuje certyfikat, łańcuch zaufania, wersję TLS (min. 1.2) i redirect HTTP→HTTPS.

Typowe problemy certyfikatów: wygasły certyfikat (strona niedostępna), certyfikat self-signed (ostrzeżenie przeglądarki), certyfikat dla niewłaściwej domeny (CN mismatch), niepełny łańcuch pośredni (błędy na starszych urządzeniach). Let's Encrypt oferuje darmowe certyfikaty z automatycznym odnawianiem — brak wymówki dla braku HTTPS.

Moduł Security ocenia siłę konfiguracji SSL/TLS według standardów Mozilla SSL Configuration Generator. Słabe szyfry, protokół TLS 1.0/1.1, brak HSTS — każde znalezisko ma priorytet i instrukcję naprawy w raporcie.

Przestarzałe biblioteki JavaScript to najczęstsze źródło podatności na stronach www. jQuery poniżej 3.5.0, Angular poniżej 1.8, przestarzałe wersje Bootstrap i lodash — każda może zawierać znane CVE umożliwiające XSS, prototype pollution lub denial of service.

Audyt Security identyfikuje wersje bibliotek JS na stronie i porównuje z bazą CVE. Każda podatność otrzymuje CVSS score, opis wpływu na biznes i instrukcję aktualizacji. Krytyczne CVE (score 9.0+) wymagają natychmiastowej aktualizacji — moduł oznacza je priorytetem 1.

Regularne skanowanie po każdym wdrożeniu pozwala wykryć regresje — nowa wtyczka WordPress czy npm dependency mogą wprowadzić podatność. Raport Security w BRS agreguje wyniki z modułem NIS2 dla pełnego obrazu cyberbezpieczeństwa.

Mixed content — ładowanie zasobów HTTP na stronie HTTPS — osłabia bezpieczeństwo i wyświetla ostrzeżenia w przeglądarce. Typowe źródła: obrazy z zewnętrznych CDN bez HTTPS, osadzone iframe HTTP, skrypty analytics bez SSL. Przeglądarki blokują active mixed content (skrypty, stylesheets) całkowicie.

Audyt Security wykrywa wszystkie zasoby HTTP na stronie HTTPS i klasyfikuje je jako active (krytyczne) lub passive (ostrzeżenie). Instrukcja naprawy wskazuje konkretne URL-e zasobów do zamiany na HTTPS lub hostowania lokalnie.

Content-Security-Policy z dyrektywą upgrade-insecure-requests automatycznie podnosi HTTP do HTTPS — rekomendacja w raporcie dla stron z wieloma legacy zasobami HTTP. Połącz audyt Security z Core Web Vitals — bezpieczne zasoby często są też szybsze (HTTP/2, CDN).