Mit mér, és mit nem mér a teszt?
A teszt azt nézi meg, amit egy támadó a legelső percben kívülről lát. Nem tör be, nem próbál jelszót, és nem keres rejtett fájlt. Ezért a pontszám a weboldal külső biztonsági rendjét méri, nem azt, hogy biztosan feltörhető-e.
Az ellenőrzések
| Mit nézünk | Hogyan | Súly |
|---|---|---|
| HTTPS-átirányítás | A http:// cím átvisz-e a https:// változatra. | súlyos |
| Tanúsítvány | Megvan-e, érvényes-e, és 14 napon belül lejár-e. | kritikus / közepes |
| HSTS, Content-Security-Policy, keret elleni védelem | A böngészőnek szóló védőfejlécek. | közepes |
| X-Content-Type-Options, Referrer-Policy, Permissions-Policy | Kisebb súlyú védőfejlécek. | apró |
| Szerververzió | Kiírja-e a szerver vagy a PHP a pontos verzióját. | közepes |
| WordPress-verzió | A forrásban látható verziót a wordpress.org hivatalos listájához mérjük: ismert biztonsági hibás, elavult vagy friss. | súlyos / közepes / apró |
| WordPress-bővítmények | A forrásban hivatkozott bővítményverziót a wordpress.org legfrissebb kiadásához mérjük. Csak akkor jelezzük, ha a fő- vagy alverzió is lemaradt. | közepes |
| Ismert sebezhetőségek | A WordPress-mag, a bővítmények és a téma látható verzióját a Wordfence Intelligence adatbázisában keressük (naponta frissítve). Minden találatnál linkeljük az adatlapot. | súlyos |
| jQuery | A látható verziót az OSV.dev nyilvános sebezhetőségi adatbázisában keressük. | súlyos |
| Belépőlap és XML-RPC | Egyetlen sima lekérés, mint egy böngészőből. Jelszót nem próbálunk. | közepes |
| Vegyes tartalom, sütik, kitett e-mail-címek | Amit a főoldal forrása elárul. | közepes / apró |
| SPF és DMARC | Nyilvános DNS-rekordok, amelyek a hamisított levelek ellen védenek. | közepes |
| security.txt | Van-e kapcsolattartó a hibát találóknak. | apró |
Hogyan lesz belőle pontszám?
100 pontról indulunk, és minden talált hibáért levonunk: kritikus 30, súlyos 14, közepes 7, apró 2 pont. A legkisebb pontszám 3. A súlyokat mi határoztuk meg a hiba valószínű következménye alapján, és 151 valódi oldalon kalibráltuk.
Amit a teszt nem lát
- A gyenge vagy kiszivárgott jelszót, és azt, hogy van-e kétlépcsős belépés.
- A szerveren futó kód hibáit (például SQL-befecskendezés), mert ehhez aktív próba kellene.
- A bővítményt, amely nem hagy nyomot a főoldal forrásában.
- A tárhely, a mentések és a frissítési rend állapotát.
Ezeket csak az oldal igazolt tulajdonosának engedélyével, mélyebb vizsgálatban nézzük meg.
Ha tűzfal áll az oldal előtt
Ha a Cloudflare, a Sucuri vagy más tűzfal elzárja előlünk a lapot, az érintett pontokat „nem mérhető”-nek jelöljük, és nem vonunk le értük. Az eredmény ilyenkor részleges: pontszámot nem adunk, csak azt mutatjuk meg, amit valóban láttunk.
Ugyanaz az oldal, ugyanaz az eredmény
Egy domain eredményét 24 órán át tároljuk, így aki egymás után többször mér, mindig ugyanazt a számot látja, a mérés időpontjával együtt. Ami egy újrapróbálás után sem válaszol, azt „nem mérhető”-nek jelöljük, nem hibának. Több szerver esetén mindig ugyanazt kérdezzük. Az ismételhetőséget úgy ellenőrizzük, hogy a teljes mintát kétszer egymás után lemérjük, és a két kört összevetjük.
Adatforrások
- wordpress.org hivatalos verziólista (WordPress-mag és bővítmények)
- Wordfence Intelligence sebezhetőségi adatbázis (WordPress-mag, bővítmények, témák; a rekordok a Defiant Inc. és a MITRE szerzői jogi feltételei szerint, minden találatnál forrásmegjelöléssel)
- OSV.dev nyilvános sebezhetőségi adatbázis (JavaScript-könyvtárak)
- Nyilvános DNS-rekordok és a weboldal saját válasza
Az összehasonlítás alapja
Az „X%-ánál jobb” mondat 151 magyar és brit weboldal valódi, ugyanezzel a teszttel mért eredményéből számol (2026-10-22). A mintában kis- és középvállalkozások, webshopok, éttermek, bankok, hírportálok és intézmények is vannak; a nagy márkák felülreprezentáltak, ezért a kisvállalkozások átlaga valószínűleg alacsonyabb. A tűzfal mögötti, részleges eredményeket kihagyjuk belőle. Amíg nincs legalább 100 lemért oldal, ezt a mondatot nem mutatjuk.
Jogi keret
A teszt csak nyilvános adatot olvas, ugyanazt, amit egy böngésző. Aktív próbát (jelszópróba, támadásminta, rejtett fájlok keresése) nem végzünk, mert ez engedély nélkül jogsértő lenne (Btk. 423. §, Computer Misuse Act).