הבדיקות שלנו מסתכלות רק על מה שכל אחד כבר יכול לראות מהאינטרנט — בדיוק מה שתוקף בודק ראשון. בלי חשבון, בלי התקנה, ושום דבר לא נפרץ: הבדיקות אינן חודרניות.
הקישורים הראשונים בהודעה נעקבים עד ליעד האמיתי שלהם. אנחנו בודקים את מבנה כל קישור (מקצרי כתובות, תווים דומים, מילות פיתיון), אם הוא מתחזה לאחד מ-47 מותגים — רשויות המס, ביטוח בריאות, בנקים, חברות שילוח, PayPal, Amazon, Microsoft… —, את גיל הדומיין, אם הוא מופיע ברשימת אתרים זדוניים ידועים, ומה דף הנחיתה מבקש: סיסמה, כרטיס אשראי, ביטוי שחזור.
בדוא״ל אנחנו קוראים גם את בדיקות השולח שרשם השרת המקבל (SPF, DKIM, DMARC), כתובת תשובה ששונה מהשולח, ואת הקבצים המצורפים — שלעולם אינם נפתחים או מורצים: שמות קבצים מוסווים, תוכנה שמסתתרת מאחורי מסמך, מאקרו, קובצי PDF שמפעילים פעולות.
לפסק הדין 4 רמות (תקין, חשוד, מסוכן, מסוכן מאוד), והאות החמור ביותר שנמצא קובע אותו. כשקישור מוביל באמת לאתר הרשמי של המותג, אותות משניים מתעלמים מהם — בלי התראות שווא.
כ-138 בדיקות (204 כללים) ב-19 קטגוריות בודקות אם האתר והדואר שלו עומדים בפרקטיקות טובות ובחובות: דומיין ו-DNS, אימות ומסירת דוא״ל, תעודה והצפנה, כותרות אבטחה ועוגיות, תוכנה שהתמיכה בה הסתיימה, מדינת האחסון והסמכות השיפוטית, פרטי מפרסם, GDPR. מ-90 ומעלה — מוצק; מתחת ל-50 — חמור מאוד.
הוא מתחיל ב-100 ומאבד נקודות על כל תרחיש ניצול שנמצא — 15 בסך הכול, ועוד 3 השלמות: סודות שנשכחו ברשת (קובצי .env, מאגרי .git, גיבויים), מסד נתונים פתוח לאינטרנט, תת-דומיין נטוש שמישהו אחר יכול להשתלט עליו, דומיין שעומד לפוג, ממשקי ניהול חשופים, תוכנה מיושנת, הצפנה חלשה, הפניה פתוחה… ככל שהציון גבוה יותר, האתר עמיד יותר.
כיסוי משוער: 60 עד 80%. זו אינה בדיקת חדירה: בלי ניחוש סיסמאות בכוח, בלי ניצול פרצות, בלי הזרקות.
אף סיסמה אינה נבדקת ואף מתקפה אינה מדומה. גיל התוכנה נקבע לפי מועדי סיום התמיכה של היצרנים. הבדיקות המעמיקות ביותר (יותר פורטים ונתיבים רגישים) נעשות רק אחרי שהוכחתם שהדומיין בבעלותכם.
הדוח מציין את חובת פרטי המפרסם בצרפת (LCEN), את ה-GDPR ואת ה-CLOUD Act האמריקאי. הבדיקות שלנו גם עוזרות לעמוד בחלק מסעיף 32 של ה-GDPR, מהמלצות ה-CNIL בנושא עוגיות, מסעיף 21 של NIS2, מדרישות Gmail ו-Yahoo משולחי דואר ומ-PCI DSS 4.0 — הן עוזרות, הן אינן מעניקות אישור תאימות.