דלגו לתוכן הראשי
לקבלת הצעת מחיר

כלי חינמי

בדיקת אבטחת אתר

עודכן ונבדק מול המקורות:

דומיין או כתובת מלאה, למשל example.co.il. בדקו רק אתר שבבעלותכם או שאתם מנהלים.

התוצאה

הקלידו את כתובת האתר שלכם ולחצו על בדיקה. נבדוק את תעודת ה-SSL, הפניה ל-HTTPS, כותרות אבטחה, עוגיות, קבצים חשופים ורשומות SPF ו-DMARC של המייל.

הבדיקה רצה מהשרת שלנו, שולחת לאתר כמה בקשות קריאה בלבד וקוראת רשומות DNS ציבוריות. אנחנו לא שומרים את הכתובת ואת התוצאות. מותר להריץ עד 10 בדיקות ב-10 דקות.

שתפו את הכלי

הכלי נבנה ומתוחזק בידי AITERRA, סוכנות דיגיטל ישראלית. מי אנחנו · יצירת קשר

בדיקת אבטחת אתר בחינם לבעלי אתרים: מקלידים כתובת ומקבלים תוך כמה שניות ציון A עד F על תעודת ה-SSL, ההפניה ל-HTTPS, כותרות האבטחה, העוגיות, קבצים חשופים כמו .git ו-xmlrpc.php, ורשומות SPF ו-DMARC של המייל. לכל ממצא יש הסבר בעברית מה בדיוק לתקן.

מה הכלי בודק

הבדיקות שמרכיבות את הציון
בדיקהמה זה אומר
תעודת SSL וגרסת TLSהאם התעודה תקפה, תואמת לדומיין ולא עומדת לפוג, והאם השרת מדבר TLS 1.2 או 1.3 ולא גרסאות ישנות.
הפניה ל-HTTPS ו-HSTSמי שמקליד http:// צריך לעבור אוטומטית לגרסה המוצפנת, ו-HSTS מורה לדפדפן לא לחזור לגרסה הפתוחה.
כותרות אבטחהCSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ו-Permissions-Policy חוסמות XSS, clickjacking ודליפות.
מידע חשוףמספרי גרסה בכותרות Server ו-X-Powered-By, גרסת וורדפרס בקוד הדף, ודגלי Secure, HttpOnly ו-SameSite בעוגיות.
קבצים ונקודות קצה פתוחים/.git/HEAD שמאפשר להוריד את כל הקוד, רשימת משתמשי וורדפרס ב-REST API, ו-xmlrpc.php שמשמש לניחוש סיסמאות.
אבטחת מיילרשומות SPF ו-DMARC ומדיניות none, quarantine או reject, שקובעות אם אפשר לשלוח מייל מזויף בשם הדומיין.

כל בדיקה מקבלת משקל: תקין שווה נקודות מלאות, לבדוק חצי, ובעיה אפס. תעודה פגומה או תיקיית .git חשופה מורידות את הציון ל-F גם אם כל השאר תקין. 90 ומעלה הוא A, 80 הוא B, 65 הוא C ו-50 הוא D.

דוגמה: אתר וורדפרס של עסק קטן

אתר תדמית בוורדפרס עם תעודת Let’s Encrypt תקפה ל-60 יום נוספים והפניה מ-http ל-https. אין HSTS, אין CSP ואין X-Frame-Options, אבל X-Content-Type-Options מוגדר. השרת מחזיר X-Powered-By: PHP/7.4.33, xmlrpc.php פתוח, ורשימת המשתמשים חסומה ודף הבית לא שולח עוגיות. במייל יש SPF ו-DMARC עם p=none.

  • תקין: תעודה (4), TLS (1), הפניה (2), nosniff (1), .git (2), משתמשים (1), SPF (2). סך הכול 13 נקודות.
  • לבדוק, חצי נקודות: CSP (1 מתוך 2), Referrer-Policy ו-Permissions-Policy (0.5 כל אחת), גרסת PHP (0.5), xmlrpc (0.5), DMARC (1 מתוך 2). סך הכול 4.
  • בעיה: HSTS (0 מתוך 2), X-Frame-Options (0 מתוך 1).

17 נקודות מתוך 24 הן 71, כלומר ציון C. ארבע שורות בהגדרות השרת, HSTS, X-Frame-Options, Referrer-Policy ו-Permissions-Policy, מוסיפות 4 נקודות ומעלות את האתר ל-88 ול-B. CSP מלא ו-DMARC עם quarantine מוסיפים עוד 2 ומביאים אותו ל-96 ול-A.

באיזה סדר לתקן

  1. בעיות אדומות של הצפנה וקבצים. תעודה שפגה או .git חשוף הם פרצה פתוחה עכשיו. מטפלים בהם באותו יום.
  2. הפניה ל-HTTPS ו-HSTS. שינוי של דקות בשרת או ב-Cloudflare שמבטיח שכל הגלישה מוצפנת.
  3. כותרות פשוטות. X-Frame-Options, X-Content-Type-Options, Referrer-Policy ו-Permissions-Policy לא שוברות כמעט אף אתר.
  4. DMARC בהדרגה. מתחילים ב-p=none עם כתובת לדוחות, מוודאים שכל שירותי הדיוור עוברים, ועוברים ל-quarantine ול-reject.
  5. CSP אחרון. מפעילים קודם במצב Report-Only, כי מדיניות שגויה יכולה לחסום אנליטיקס, צ׳אט וסליקה.

רוצים לבדוק גם איך האתר נראה בעיני גולש זהיר? הריצו את בדיקת אתר אמין או מזויף. ואם אין לכם זמן לטפל בממצאים, זה חלק מתחזוקת אתרים אצלנו.

מקורות

המקורות נבדקו ב-28 באוקטובר 2026. הבדיקה חיצונית ואוטומטית, ואינה מחליפה בדיקת חדירות או ביקורת אבטחה מקצועית.

קיבלתם C ומטה, או שאין לכם זמן לטפל בכותרות, ב-DMARC ובעדכוני וורדפרס? אנחנו מתקנים את הממצאים ומנטרים את האתר כל חודש.

תחזוקת אתרים ואבטחה

שאלות נפוצות על בדיקת אבטחת אתר

עוד כלים

כלים חינמיים נוספים

לכל הכלים