כלי טכני חינמי

בדיקת אתר מקיפה בחינם

סריקה אחת של הדף שהזנת ועד ארבעה דפים מרכזיים, עם תוצאות בשבעה תחומים: נגישות, מוכנות ל-EAA, SEO, מהירות, המרות, אבטחה ואימות דוא״ל. כדאי להתחיל כאן כדי לראות איפה הבעיות הגדולות ביותר לפני שמחליטים מה לתקן.

חינם. בודק עד חמישה עמודים מרכזיים תוך כדקה.

מה הכלי בודק

  • נגישות

    כללי WCAG 2.2 ברמות A ו-AA של axe-core בכל דף שנבדק, וגם בדיקת מקלדת למלכודות מיקוד, לקישורי דילוג ולקווי מיקוד חסרים.

  • מוכנות ל-EAA

    כשלי נגישות אוטומטיים ממופים ל-EN 301 549, התקן האירופי שמשמש לחוק הנגישות האירופי (European Accessibility Act).

  • SEO

    תגיות title, תיאורים, כותרות H1, canonical, noindex, robots.txt, מפת האתר XML, viewport, שפה, Open Graph ונתונים מובנים.

  • מהירות

    זמני טעינה, תזוזת פריסה, משימות ארוכות, משקל הדף, תמונות כבדות וחלק הצד השלישי, שנמדדים באותן טעינות דף. בדיקת הטלפון ברשת 4G איטית נמצאת בבדיקת מהירות האתר.

  • המרות

    קריאות לפעולה, דרכי יצירת קשר, טפסים ותוכן שבונה אמון, כמו המלצות לקוחות וקישורים למדיניות. בחנויות, גם בדיקות של מוצר ועגלה, כמו המחיר, כפתור ההוספה לעגלה וכפתור המעבר לתשלום.

  • אבטחה פסיבית

    התעודה, ההפניה מ-HTTP ל-HTTPS, כותרות אבטחה, דגלי עוגיות, תוכן מעורב, גרסאות מיושנות של jQuery ו-Lodash, security.txt ומדיניות ה-DMARC שמגינה מפני דוא״ל מזויף.

  • אימות דוא״ל

    SPF, DKIM בסלקטורים נפוצים, DMARC, BIMI ו-MTA-STS, שנקראים מ-DNS ציבורי.

  • סוג האתר והטכנולוגיה

    סוג האתר (חנות, SaaS או אפליקציה, אתר חברה, בלוג, הוצאה לאור, חינוך, ממשל, בריאות, מלון או דף נחיתה) והפלטפורמה שלו מתוך 18 טכנולוגיות, שמזוהים לפי ראיות ציבוריות עם רמת ודאות. שניהם קובעים באילו דפים ובאילו בדיקות משתמשים.

מה הכלי לא יכול לבדוק

  • להעמיק בתחום אחד. כל תחום מציג את הממצאים החשובים ביותר שלו; הדוח בתשלום של אותו תחום מריץ בדיקות נוספות ונותן את התיקון לכל ממצא.
  • לבדוק יותר מחמישה דפים, דפים שמאחורי התחברות, או תהליך תשלום.
  • לשמש כבדיקת חדירות (penetration test). בדיקות האבטחה קוראות רק את מה שהדפדפן של מבקר וה-DNS הציבורי מציגים.
  • למצוא כל מפתח DKIM. אי אפשר לקבל רשימה של סלקטורים, ולכן נבדקים רק הסלקטורים ששירותי דוא״ל נפוצים משתמשים בהם.
  • לענות על שאלות משפטיות, כמו אם ה-ADA או ה-EAA חלים עליך, או אם האתר עומד בהם.
  • למדוד תוצאות כמו דירוגים, שיעורי המרה, מכירות או הגעה לתיבת הדואר הנכנס.

למה זה חשוב

בעיות באתר כמעט אף פעם לא נשארות בתחום אחד. קרוסלת תמונות יכולה להיות גם כשל הנגישות, גם הקובץ הכבד ביותר בדף וגם הסיבה שהקריאה לפעולה נמצאת מתחת למסך הראשון. באנר עוגיות יכול ללכוד את מיקוד המקלדת ולהזיז את הפריסה באותו זמן. כשרואים את כל התחומים בסריקה אחת, רואים איפה שינוי אחד מתקן כמה דברים.

בדיקה רחבה מוצאת גם את מה שאין לו בעלים. רשומות אימות דוא״ל מוגדרות פעם אחת ונשכחות; בלי מדיניות DMARC אכופה, אחרים יכולים לשלוח דואר שנראה כאילו הוא מגיע מהדומיין שלך. פקיעת תוקף של תעודה, כותרות אבטחה חסרות ו-jQuery ישן שמגיע עם תוסף שקטים באותה מידה, עד שמשהו נשבר.

מכיוון שהסריקה מזהה איזה סוג אתר היא בודקת, הבדיקות מתאימות לו: חנות מקבלת בדיקות מוצר ועגלה, אתר SaaS את דף המחירים שלו, ובלוג את המאמרים שלו. הזיהוי מציג את הראיות ואת רמת הוודאות שלו, כך שאפשר לדעת מתי הוא טעה.

איך לקרוא את התוצאות

בעיה
בעיה ודאית שהבדיקות אישרו, כמו כלל WCAG שנכשל, דף שמוגדר כ-noindex או היעדר רשומת DMARC.
לבדיקה
משהו שאדם צריך להסתכל עליו, כי תוכנה לא יכולה להכריע או שאולי זה מכוון, כמו פריט ש-axe-core לא הצליח להכריע בו או דף שאתרים אחרים יכולים להטמיע.
הזדמנות
שיפור ולא שגיאה, כמו היעדר Content Security Policy או קריאה לפעולה שנמצאת מתחת למסך הראשון.
עבר
הבדיקה רצה ולא מצאה שום בעיה בדפים שנבדקו.
מידע
הקשר ולא פסק דין, למשל כותרות אבטחה ש-Shopify מגדירה לכל חנות ואי אפשר לשנות.
סוג האתר ורמת הוודאות (Website type)
מה הסריקה חושבת שהאתר שלך הוא, עם הראיות שמאחורי זה. כשהראיות דלות, האתר מטופל כאתר כללי, ועדיין מקבל כל בדיקה שמתאימה לכל אתר.
טכנולוגיה
הפלטפורמה או ה-framework שזוהו, כמו Shopify, WordPress, Webflow או Next.js. היא קובעת אילו שלבי תיקון ייעודיים לפלטפורמה יוצגו לך.

איך לתקן את הבעיות הנפוצות ביותר

  • אין מדיניות DMARC

    יש לפרסם רשומת TXT בכתובת _dmarc.yourdomain.com, למשל v=DMARC1; p=none; rua=mailto:dmarc@yourdomain.com, כדי להתחיל לקבל דוחות. כשהדוחות מראים שכל שירות ששולח בשמך עובר SPF או DKIM, אפשר לעבור ל-p=quarantine ואחר כך ל-p=reject.

  • HTTP לא מפנה ל-HTTPS

    יש להפעיל את אפשרות כפיית ה-HTTPS בחברת האחסון או ב-CDN, או להוסיף הפניית 301 מ-http:// ל-https:// לכל נתיב. כש-HTTPS עובד בכל מקום, יש להוסיף כותרת Strict-Transport-Security.

  • כותרות אבטחה חסרות

    כדאי להתחיל ב-X-Content-Type-Options: nosniff, ב-Referrer-Policy כמו strict-origin-when-cross-origin, וב-frame-ancestors בתוך Content Security Policy (או X-Frame-Options) כדי למנוע מאתרים אחרים להטמיע את הדפים שלך במסגרת. Content Security Policy מלאה דורשת בדיקות, ולכן כדאי להתחיל עם Content-Security-Policy-Report-Only.

  • jQuery או Lodash מיושנים

    יש לעדכן לגרסה עדכנית, או להסיר את הספרייה אם שום דבר לא משתמש בה. ב-WordPress, עותקים ישנים מגיעים בדרך כלל מערכת עיצוב או מתוסף שמגיעים עם עותק משלהם, ולכן הפתרון הוא לעדכן או להחליף את התוסף הזה.

  • SPF עם יותר מדי בדיקות DNS

    SPF מתיר לכל היותר 10 בדיקות DNS (lookups). יש להסיר רשומות include: של שירותים שכבר לא בשימוש, להימנע ככל האפשר מ-include מקוננים, ולוודא שהדומיין מפרסם רק רשומת SPF אחת.

  • אין קריאה ברורה לפעולה

    יש לשים פעולה ראשית אחת, כמו "לתיאום הדגמה", "לקבלת הצעת מחיר" או "לקולקציה החדשה", במסך הראשון של דף הבית, כקישור או כפתור אמיתי עם טקסט ספציפי, ולחזור עליה אחרי הקטעים המרכזיים.

שאלות על הכלי

מה כוללת בדיקת האתר החינמית?

הדף שהזנת ועד ארבעה דפים מרכזיים נבדקים בדפדפן אמיתי, ובנוסף נערכות בדיקות ברמת האתר כולו של robots.txt, מפת האתר, התעודה, כותרות התגובה ורשומות ה-DNS. התוצאות מחולקות לשבעה תחומים, ולכל אחד הממצאים החשובים ביותר שלו.

כמה זמן זה לוקח?

בערך דקה ברוב האתרים, כי נטענים ונבדקים חמישה דפים. אם אותה כתובת נסרקה בשעה האחרונה, ייתכן שייעשה שימוש חוזר בתוצאות האלה.

האם בטוח להריץ את בדיקת האבטחה על אתר חי?

כן. היא קוראת רק את מה שהדפדפן של מבקר וה-DNS הציבורי מציגים: התעודה, הכותרות, העוגיות, הסקריפטים והרשומות. היא אף פעם לא מנסה סיסמאות, לא מחפשת נתיבים מוסתרים ולא שולחת תעבורת תקיפה.

איך מזוהה סוג האתר?

לפי ראיות ציבוריות בדפים שלך: נתונים מובנים, תגיות generator, סקריפטים והמילים בקישורים ובכפתורים. לכל תווית יש רמת ודאות, והיא מציגה את הראיות שלה, כך שקל לזהות ניחוש שגוי.

למה נבדקו פחות מחמישה דפים?

הדפים המרכזיים נבחרים מהקישורים בדף שהזנת. באתר קטן, או כשדף מפנה לאתר אחר, מחזיר שגיאה או חסום, אפשר לבדוק פחות דפים.

באיזה דוח בתשלום כדאי להתחיל?

בדוח של התחום שבו נמצאות הבעיות שהכי חשובות לך. כל תחום בבדיקה מקשר לדוח שלו, שבודק יותר דפים או מריץ בדיקות נוספות ונותן את התיקון לכל ממצא.

מקורות

כלים קשורים