Nástroj zdarma: Technika

Audit webu zdarma

Jeden sken zadané stránky a až čtyř dalších klíčových stránek s výsledky v sedmi oblastech: přístupnost, připravenost na EAA, SEO, rychlost, konverze, zabezpečení a ověřování e-mailů. Začněte tady a zjistěte, kde jsou největší problémy, dřív než se rozhodnete, co opravit.

Zdarma. Otestuje až pět klíčových stránek zhruba za minutu.

Co tento nástroj kontroluje

  • Přístupnost

    Pravidla axe-core pro WCAG 2.2 úrovně A a AA na každé testované stránce a k tomu test klávesnicí, který hledá pasti na fokus, odkazy pro přeskočení obsahu a chybějící obrysy fokusu.

  • Připravenost na EAA

    Automaticky zjištěné chyby přístupnosti přiřazené k EN 301 549, evropské normě používané pro Evropský akt o přístupnosti (European Accessibility Act).

  • SEO

    Titulky, popisy, nadpisy H1, kanonické odkazy, noindex, robots.txt, XML sitemapa, viewport, jazyk, Open Graph a strukturovaná data.

  • Rychlost

    Časy načítání, posuny rozvržení, dlouhé úlohy, velikost stránky, těžké obrázky a podíl třetích stran, měřené při stejných načteních stránek. Test na telefonu s pomalým 4G najdete v Testu rychlosti webu.

  • Konverze

    Výzvy k akci, kontaktní cesty, formuláře a obsah budující důvěru, jako jsou reference a odkazy na zásady a podmínky. U e-shopů také kontroly produktu a košíku, například cena, tlačítko pro vložení do košíku a tlačítko pro přechod k pokladně.

  • Pasivní zabezpečení

    Certifikát, přesměrování z HTTP na HTTPS, bezpečnostní hlavičky, příznaky cookies, smíšený obsah, zastaralé verze jQuery a Lodash, security.txt a politika DMARC, která chrání před podvrženými e-maily.

  • Ověřování e-mailů

    SPF, DKIM u běžných selektorů, DMARC, BIMI a MTA-STS, načtené z veřejného DNS.

  • Typ webu a technologie

    Druh webu (e-shop, SaaS nebo aplikace, firemní web, blog, vydavatel, vzdělávání, veřejná správa, zdravotnictví, hotel nebo landing page) a jeho platforma z 18 technologií, rozpoznané z veřejně dostupných znaků s mírou jistoty. Obojí určuje, které stránky a kontroly se použijí.

Co zkontrolovat nedokáže

  • Jít do hloubky v jediné oblasti. Každá oblast ukazuje nejdůležitější zjištění; odpovídající placený report spustí víc testů a ke každému zjištění dá opravu.
  • Testovat víc než pět stránek, stránky za přihlášením nebo pokladnu.
  • Nahradit penetrační test. Bezpečnostní kontroly čtou jen to, co ukazuje prohlížeč návštěvníka a veřejné DNS.
  • Najít každý klíč DKIM. Selektory nelze vypsat, proto se kontrolují jen ty, které používají běžné e-mailové služby.
  • Odpovědět na právní otázky, například zda se na vás vztahuje ADA nebo EAA, nebo zda je splňujete.
  • Měřit výsledky, jako jsou pozice ve vyhledávání, konverzní poměry, tržby nebo doručení do doručené pošty.

Proč na tom záleží

Problémy webu málokdy zůstanou v jedné oblasti. Obrázkový karusel může být chybou přístupnosti, nejtěžším souborem na stránce i důvodem, proč výzva k akci leží až pod první obrazovkou. Cookie lišta může zároveň zachytit fokus klávesnice a posunout rozvržení. Když vidíte všechny oblasti z jednoho skenu, poznáte, kde jedna změna opraví několik věcí.

Široká kontrola najde i to, co nikdo nemá na starosti. Záznamy pro ověřování e-mailů se nastaví jednou a zapomenou; bez vynucené politiky DMARC mohou jiní posílat e-maily, které vypadají, jako by přišly z vaší domény. Vypršení certifikátu, chybějící bezpečnostní hlavičky a staré jQuery přibalené pluginem jsou stejně nenápadné, dokud se něco nerozbije.

Protože sken rozpozná, jaký druh webu testuje, kontroly mu odpovídají: e-shop dostane kontroly produktu a košíku, web SaaS svou stránku s ceníkem, blog své články. Rozpoznání ukazuje své důkazy a míru jistoty, takže poznáte, kdy se spletlo.

Jak číst výsledky

Problém
Jednoznačný problém, který kontroly potvrdily, například nesplněné pravidlo WCAG, stránka nastavená na noindex nebo chybějící záznam DMARC.
Ověřit
Něco, na co by se měl podívat člověk, protože software to nedokáže rozhodnout nebo to může být záměr, například položka, kterou axe-core nedokázal vyhodnotit, nebo stránka, kterou mohou vkládat jiné weby.
Příležitost
Spíš zlepšení než chyba, například chybějící Content Security Policy nebo výzva k akci pod první obrazovkou.
V pořádku
Kontrola proběhla a na testovaných stránkách nenašla nic špatně.
Info
Kontext, nikoli verdikt, například bezpečnostní hlavičky, které Shopify nastavuje každému obchodu a které nemůžete změnit.
Typ webu a míra jistoty
Za co sken váš web považuje, i s důkazy, na kterých to zakládá. Když je důkazů málo, web se bere jako obecný web a i tak dostane všechny kontroly, které se hodí pro jakýkoli web.
Technologie
Rozpoznaná platforma nebo framework, například Shopify, WordPress, Webflow nebo Next.js. Určuje, jaké kroky oprav pro konkrétní platformu uvidíte.

Jak opravit nejčastější problémy

  • Chybí politika DMARC

    Zveřejněte záznam TXT na _dmarc.yourdomain.com, například v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, a začnete dostávat reporty. Až reporty ukážou, že každá služba, která za vás odesílá, projde kontrolou SPF nebo DKIM, přejděte na p=quarantine a pak na p=reject.

  • HTTP nepřesměrovává na HTTPS

    Zapněte u hostingu nebo CDN volbu pro vynucení HTTPS, nebo přidejte přesměrování 301 z http:// na https:// pro všechny cesty. Až bude HTTPS fungovat všude, přidejte hlavičku Strict-Transport-Security.

  • Chybějící bezpečnostní hlavičky

    Začněte hlavičkou X-Content-Type-Options: nosniff, hlavičkou Referrer-Policy, například strict-origin-when-cross-origin, a direktivou frame-ancestors v Content Security Policy (nebo X-Frame-Options), aby jiné weby nemohly vaše stránky vkládat do rámců. Úplná Content Security Policy vyžaduje testování, proto začněte s Content-Security-Policy-Report-Only.

  • Zastaralé jQuery nebo Lodash

    Aktualizujte na aktuální verzi, nebo knihovnu odstraňte, pokud ji nic nepoužívá. Ve WordPressu staré kopie obvykle pocházejí ze šablony nebo pluginu, který si přibaluje vlastní, takže řešením je aktualizace nebo výměna daného pluginu.

  • SPF s příliš mnoha DNS dotazy

    SPF povoluje nejvýše 10 DNS dotazů. Odstraňte záznamy include: pro služby, které už nepoužíváte, kde to jde, vyhněte se vnořeným include a ujistěte se, že doména zveřejňuje jen jeden záznam SPF.

  • Chybí jasná výzva k akci

    Umístěte na první obrazovku domovské stránky jednu hlavní akci, například „Objednat ukázku“, „Získat nabídku“ nebo „Nakoupit novinky“, jako skutečný odkaz nebo tlačítko s konkrétním textem a zopakujte ji po klíčových sekcích.

Otázky k tomuto nástroji

Co zahrnuje bezplatný audit webu?

Zadanou stránku a až čtyři další klíčové stránky otestované ve skutečném prohlížeči a k tomu kontroly celého webu: robots.txt, sitemapu, certifikát, hlavičky odpovědí a záznamy DNS. Výsledky jsou rozdělené do sedmi oblastí, každá se svými nejdůležitějšími zjištěními.

Jak dlouho audit trvá?

U většiny webů asi minutu, protože se načte a otestuje pět stránek. Pokud byla stejná adresa skenována během poslední hodiny, mohou se použít tyto výsledky.

Je bezpečnostní kontrola bezpečná pro živý web?

Ano. Čte jen to, co ukazuje prohlížeč návštěvníka a veřejné DNS: certifikát, hlavičky, cookies, skripty a záznamy. Nikdy nezkouší hesla, neprohledává skryté cesty ani neposílá útočný provoz.

Jak se rozpoznává typ webu?

Z veřejně dostupných znaků na vašich stránkách: strukturovaných dat, tagů generator, skriptů a slov na odkazech a tlačítkách. Každý štítek má míru jistoty a ukazuje své důkazy, takže chybný odhad snadno poznáte.

Proč se otestovalo méně než pět stránek?

Klíčové stránky se vybírají z odkazů na zadané stránce. Na malém webu nebo když stránka přesměruje na jiný web, vrátí chybu nebo je zablokovaná, lze otestovat méně stránek.

Kterým placeným reportem mám začít?

Tím pro oblast s problémy, na kterých vám nejvíc záleží. Každá oblast auditu odkazuje na svůj report, který otestuje víc stránek nebo spustí další testy a ke každému zjištění dá opravu.

Zdroje

Související nástroje