Mit mér, és mit nem mér a teszt?
A teszt azt nézi meg, amit egy támadó a legelső percben kívülről lát. Nem tör be, nem próbál jelszót, és nem keres rejtett fájlt. Ezért a pontszám a weboldal külső biztonsági rendjét méri, nem azt, hogy biztosan feltörhető-e.
Az ellenőrzések
| Mit nézünk | Hogyan | Súly |
|---|---|---|
| Biztonság | ||
| HTTPS-átirányítás | A http:// cím átvisz-e a https:// változatra. | súlyos |
| Tanúsítvány | Megvan-e, érvényes-e, és 14 napon belül lejár-e. Kiírjuk a kiadót és a lejárat napját. | kritikus / közepes |
| Elavult TLS | Egy-egy kapcsolódási kísérlet TLS 1.0-val és 1.1-gyel: elfogadja-e még a szerver. | apró |
| HSTS, Content-Security-Policy, keret elleni védelem | A böngészőnek szóló védőfejlécek. | közepes |
| X-Content-Type-Options, Referrer-Policy, Permissions-Policy | Kisebb súlyú védőfejlécek. | apró |
| Szerververzió | Kiírja-e a szerver vagy a PHP a pontos verzióját. | közepes |
| WordPress-verzió | A forrásban látható verziót a wordpress.org hivatalos listájához mérjük: ismert biztonsági hibás, elavult vagy friss. | súlyos / közepes / apró |
| WordPress-bővítmények | A forrásban hivatkozott bővítményverziót a wordpress.org legfrissebb kiadásához mérjük. Csak akkor jelezzük, ha a fő- vagy alverzió is lemaradt. | közepes |
| Ismert sebezhetőségek | A WordPress-mag, a bővítmények és a téma látható verzióját a Wordfence Intelligence adatbázisában keressük (naponta frissítve). Minden találatnál linkeljük az adatlapot. | súlyos |
| jQuery | A látható verziót az OSV.dev nyilvános sebezhetőségi adatbázisában keressük. | súlyos |
| Belépőlap és XML-RPC | Egyetlen sima lekérés, mint egy böngészőből. Jelszót nem próbálunk. | közepes |
| Vegyes tartalom, sütik, kitett e-mail-címek, SRI | Amit a főoldal forrása elárul. | közepes / apró |
| security.txt | Van-e kapcsolattartó a hibát találóknak. | apró |
| CAA és DNSSEC | Nyilvános DNS-rekordok: ki adhat tanúsítványt a domainre, és alá vannak-e írva a DNS-válaszok. | apró |
| E-mail és domain | ||
| Levelezőszerver (MX) | Van-e levelezőszerver, és melyik szolgáltatóé. | közepes |
| SPF, DKIM és DMARC | Nyilvános DNS-rekordok, amelyek a hamisított levelek ellen védenek. A DKIM-nél a szokásos kulcsneveket kérdezzük le. | súlyos / közepes / apró |
| MTA-STS | Titkosított kapcsolatot kér-e a domain a hozzá érkező levelektől. | apró |
| Domain lejárata | A domainnyilvántartás nyilvános adata (RDAP, a .hu-nál WHOIS): mikor jegyezték be, és mikor jár le. | súlyos / közepes |
| Hírnév | ||
| Spamlisták | A weboldal és a levelezőszerver IP-címét két nyilvános spamlistán (SpamCop, PSBL) keressük. | közepes |
| Sebesség | ||
| Szerverválasz (TTFB) | Mennyi idő alatt érkezik meg a főoldal első bájtja. Két mérés között a hálózattól függően eltérhet. | közepes / apró |
| Méret és elemszám | A főoldal HTML-mérete, és hány szkriptet, stíluslapot, képet és keretet tölt be. | közepes / apró |
| Tömörítés, HTTP-verzió, gyorsítótár | A válaszfejlécekből: tömörít-e a szerver, HTTP/2-t használ-e, és meddig tárolhatja a böngésző a fájlokat. | közepes / apró |
| Képformátum és blokkoló szkriptek | Modern képformátumok (WebP, AVIF), és hány szkript tartja fel a megjelenést. | apró |
| Kereshetőség | ||
| Cím, leírás, főcím | Megvan-e, és a hossza a keresőtalálatban jól mutat-e. | közepes / apró |
| Indexelés | Kizárja-e magát az oldal a keresőkből (noindex, robots.txt). | súlyos |
| Kanonikus cím, oldaltérkép, nyelv | A keresőnek szóló jelölések megléte. | apró |
| Megosztási előnézet, strukturált adat, képleírás, mobilnézet | Mit lát a közösségi oldal és a kereső, és van-e szöveges leírása a képeknek. | közepes / apró |
| Adatvédelem és jog | ||
| Követőkódok és sütisáv | Betölt-e az oldal követőkódot (például Google Analytics, Meta Pixel), és van-e mellette hozzájárulás-kezelő. | közepes |
| Adatkezelési tájékoztató és impresszum | Van-e rájuk hivatkozás a főoldalon. | közepes / apró |
| Google Fonts és külső szolgáltatók | Hány külső domainre küldi el az oldal a látogató adatait. | apró |
Hogyan lesz belőle pontszám?
100 pontról indulunk, és minden talált hibáért levonunk: kritikus 30, súlyos 14, közepes 7, apró 2 pont. A legkisebb pontszám 3. A Biztonsági pontba három terület számít bele: a biztonság, az e-mail és domain, és a hírnév. A sebesség, a kereshetőség és az adatvédelem ugyanígy saját pontot kap, de a Biztonsági pontot nem rontja. A súlyokat mi határoztuk meg a hiba valószínű következménye alapján, és 149 valódi oldalon kalibráltuk.
Amit a teszt nem lát
- A gyenge vagy kiszivárgott jelszót, és azt, hogy van-e kétlépcsős belépés.
- A szerveren futó kód hibáit (például SQL-befecskendezés), mert ehhez aktív próba kellene.
- A bővítményt, amely nem hagy nyomot a főoldal forrásában.
- A tárhely, a mentések és a frissítési rend állapotát.
Ezeket csak az oldal igazolt tulajdonosának engedélyével, mélyebb vizsgálatban nézzük meg.
Ha tűzfal áll az oldal előtt
Ha a Cloudflare, a Sucuri vagy más tűzfal elzárja előlünk a lapot, az érintett pontokat „nem mérhető”-nek jelöljük, és nem vonunk le értük. Az eredmény ilyenkor részleges: pontszámot nem adunk, csak azt mutatjuk meg, amit valóban láttunk.
Ugyanaz az oldal, ugyanaz az eredmény
Egy domain eredményét 24 órán át tároljuk, így aki egymás után többször mér, mindig ugyanazt a számot látja, a mérés időpontjával együtt. Ami egy újrapróbálás után sem válaszol, azt „nem mérhető”-nek jelöljük, nem hibának. Több szerver esetén mindig ugyanazt kérdezzük. Az ismételhetőséget úgy ellenőrizzük, hogy a teljes mintát kétszer egymás után lemérjük, és a két kört összevetjük.
Adatforrások
- wordpress.org hivatalos verziólista (WordPress-mag és bővítmények)
- Wordfence Intelligence sebezhetőségi adatbázis (WordPress-mag, bővítmények, témák; a rekordok a Defiant Inc. és a MITRE szerzői jogi feltételei szerint, minden találatnál forrásmegjelöléssel)
- OSV.dev nyilvános sebezhetőségi adatbázis (JavaScript-könyvtárak)
- Nyilvános DNS-rekordok (a DNSSEC-et a Google nyilvános DNS-szolgáltatásán keresztül kérdezzük le) és a weboldal saját válasza
- Domainnyilvántartás: RDAP, a .hu domaineknél a whois.nic.hu
- Spamlisták: SpamCop és PSBL (a Spamhaus listáját licencfeltételei miatt nem használjuk)
Mi van egy hiba mellett?
Minden hibánál megmutatjuk, mit találtunk, miért baj, és a bizonyítékot, amiből a következtetést levontuk. A javítás lépéseit a teljes riport tartalmazza, vagy egy kattintással kérheted, hogy mi javítsuk ki.
Az összehasonlítás alapja
Az „X%-ánál jobb” mondat 149 magyar és brit weboldal valódi, ugyanezzel a teszttel mért eredményéből számol (2026-10-22). A mintában kis- és középvállalkozások, webshopok, éttermek, bankok, hírportálok és intézmények is vannak; a nagy márkák felülreprezentáltak, ezért a kisvállalkozások átlaga valószínűleg alacsonyabb. A tűzfal mögötti, részleges eredményeket kihagyjuk belőle. Amíg nincs legalább 100 lemért oldal, ezt a mondatot nem mutatjuk.
Jogi keret
A teszt csak nyilvános adatot olvas, ugyanazt, amit egy böngésző. Aktív próbát (jelszópróba, támadásminta, rejtett fájlok keresése) nem végzünk, mert ez engedély nélkül jogsértő lenne (Btk. 423. §, Computer Misuse Act).