Найдите уязвимости сайта раньше хакера.

Введите адрес. Himoya проверит сайт как злоумышленник, покажет только подтверждённые проблемы и объяснит, как их исправить.

ЗаписатьсяКак это работает

Демо-сайт, одна проверка

Каждая проблема перепроверяется, прежде чем попасть в отчёт.

запросов отправлено
908
проблем найдено
8
секунд
19
ложных тревог
0

Что находит

9 видов уязвимостей, найденных на сайте, простыми словами

К каждой проблеме: что она значит для бизнеса и что попросить у разработчика.

  • Текст, который вводят пользователи (комментарий, имя), сохраняется и потом показывается без очистки. Вставленный туда скрипт выполняется у каждого, кто откроет страницу.

    Критическая/comments

    Что делать

    Попросите разработчика очищать каждый комментарий и имя перед показом.

  • Значение из адреса (например, поисковый запрос) показывается на странице без очистки. Злоумышленник может составить ссылку, по которой в браузере посетителя выполнится его скрипт.

    Высокая/search

    Что делать

    Попросите разработчика очищать всё, что берётся из адреса, перед показом.

  • Пароль, токен или ключ облачного сервиса присутствует в странице или ответе, который отдаёт сайт.

    Высокая/

    Что делать

    Сразу замените ключ и уберите ключи из страниц и кода.

  • Страница, предназначенная для администраторов, отвечает и обычному пользователю.

    Высокая/admin

    Что делать

    Проверяйте роль пользователя на каждой админ-странице, а не только в меню.

  • К записям обращаются по номеру в адресе (например, /orders/1). Изменив номер, можно увидеть чужую запись.

    Высокая/orders/1

    Что делать

    Пусть разработчик при каждом запросе проверяет, что запись принадлежит тому, кто её просит.

  • Значение со страницы передаётся напрямую операционной системе сервера как команда.

    Критическая/ping?host=

    Что делать

    Не передавайте значение со страницы серверу как команду, используйте готовые безопасные вызовы.

  • Имя файла со страницы используется без проверки, поэтому ../ в нём добирается до файлов за пределами нужной папки.

    Высокая/files?name=../

    Что делать

    Принимайте только известные имена файлов и отклоняйте всё с ../.

  • Сервер не отправляет защитный заголовок (например, принудительный HTTPS или правила содержимого), на который полагаются браузеры.

    Средняя/

    Что делать

    Включите недостающий заголовок в настройках сервера.

  • Адрес, который не должен быть публичным (например, /.env, резервная копия или отладочная страница), отвечает кому угодно.

    Критическая/.env

    Что делать

    Уберите файл из публичной папки и закройте адрес.

Как это работает

Три шага. Отдел безопасности не нужен.

  1. 1

    Введите адрес

    Добавьте адрес сайта. Himoya проверяет только сайты, которые принадлежат вам или которые вам разрешено проверять.

  2. 2

    Himoya проверяет

    ИИ-агенты пробуют то, что попробовал бы злоумышленник. Живому сайту ничего не грозит: только чтение, ничего не создаётся, не меняется и не удаляется.

  3. 3

    Проблемы и как их исправить

    Для каждой проблемы: насколько она опасна, что может случиться и что делать. Для разработчика есть технические детали.

Почему Himoya можно доверять

  • Только ваш сайт

    Himoya проверяет только добавленный вами сайт. Любой запрос за его пределы блокируется.

  • Без вреда живому сайту

    Режим «только чтение» включён по умолчанию: на сайте ничего не создаётся, не меняется и не удаляется.

  • Каждая проблема перепроверена

    Прежде чем проблема попадёт к вам, Himoya трижды повторяет её с новыми входами. Если она не повторилась, вы её не увидите.

Журнал перепроверки
Высокая

Один пользователь может открыть данные другого

/orders/1

  1. Попытка 1повторилась182 ms
  2. Попытка 2повторилась176 ms
  3. Попытка 3повторилась191 ms
  4. Проверка от имени владельцавсё в порядке
Уверенность96%

Подтверждено. Уровень: Высокая.

Для кого

  • Владелец бизнеса

    Понятный отчёт: что не так, насколько это опасно и что попросить у разработчика. Без жаргона.

  • Разработчик

    Технические детали по каждой проблеме: запрос, доказательство и пример кода для исправления.

    • Node.js
    • Python
    • PHP
    • NGINX
    • Java
    • Kotlin
    • Swift
    • Flutter
  • Скоро

    Команда

    Запускайте Himoya из GitHub Action и получайте новые проблемы в Slack и Telegram.

    • GitHub
    • GitLab
    • Slack
    • Telegram

Запишитесь в Himoya

Мы открываем Himoya для небольшой первой группы.

  • Первую проверку настроим вместе с вами
  • Цена для первых пользователей
  • Новые возможности вы попробуете первыми
Записаться

Уже есть доступ? Войти

Вопросы

hello@himoya.ai
Может ли Himoya сломать мой сайт?

Нет. На живом сайте Himoya только читает: не отправляет формы, не сохраняет данные и ничего не удаляет. Проверки, которым нужна запись, запускаются только на тестовой копии сайта.

Нужно ли разбираться в технике?

Нет. Каждая проблема объяснена простыми словами: что это значит, что может случиться и что попросить у разработчика. Технические детали лежат отдельно, для того, кто будет исправлять.

Как вы избегаете ложных тревог?

Каждую подозрительную проблему мы проверяем ещё раз, прежде чем сообщить о ней. Если она не повторилась, в отчёт она не попадает.

Какие сайты можно проверять?

Только свои или те, которые вам разрешено проверять. Запросы за пределы вашего сайта блокируются.

Что значит «Himoya»?

По-узбекски это «защита». Это и есть наша работа.