איך הסריקה באמת עובדת

בלי ערפול. הנה בדיוק מה שרץ, מה זה מוכיח, ובכנות — מה זה לא מוכיח.

ה-AI כותב את הדוח. הוא לא מבצע את הסריקה.

תפיסה מוטעית נפוצה: שהצ׳אט "מייצר" את התוצאות. הוא לא. 17 כלים אמיתיים (Python, רצים על השרת, במקביל) מבצעים את הסריקה. ה-AI רק מתרגם את הפלט הגולמי שלהם לעברית/אנגלית ברורה ולתיקון מוכן להעתקה. כל ממצא מגובה בתוצאה אמיתית של כלי — ממופה ל-CVSS, CWE ו-OWASP — לא מומצא על ידי מודל שפה.

17 הכלים — מה כל אחד באמת עושה

TLS/SSL — socket אמיתי: אילו גרסאות פרוטוקול השרת מקבל (TLS 1.0/1.1 = כשל), cipher חלש (RC4/3DES/EXPORT), Forward Secrecy, שרשרת תעודה, BEAST/Sweet32/ROBOT

Security headers — CSP, HSTS (max-age + preload), X-Frame-Options, referrer policy (בסגנון Mozilla Observatory)

HTML/DOM — secrets גלויים, טפסים לא מאובטחים, חוסר CSRF, mixed content, הערות רגישות

טביעת אצבע טכנולוגית — גרסאות שרת, framework וספריות (מזין התאמת CVE)

Crawler — ממפה דפים, טפסים וקלטים לבניית משטח התקיפה

מדיניות CORS/CSP — origins עם wildcard, CORS עם credentials, CSP חלש או חסר

DNS — SPF, DMARC, DKIM, רשומות תלושות (זיוף אימייל + משטח השתלטות)

Exposure — ‏.git / .env, קבצי גיבוי, directory listing, config חשוף

HSTS preload — זכאות לרשימת ה-preload של הדפדפנים

Open redirect — שולח payloads ובודק אם ה-Location בורח לדומיין זר

זיהוי WAF — מזהה את חומת האש היישומית שלפני האתר

Certificate transparency — subdomains שנחשפים מלוגי CT ציבוריים

API spec — מגלה ובודק endpoints של OpenAPI/Swagger

Subdomain takeover — CNAME תלושים שמצביעים לשירותים לא-תפוסים

Port scanner — שירותים חשופים בפורטים נפוצים

Cookie security — דגלי Secure / HttpOnly / SameSite

Deep JS crawler — מרנדר את הדף עם Playwright לאיתור secrets בצד-לקוח, CSRF ו-endpoints נסתרים

Nuclei — אלפי templates של CVE ידועים רצים על היעד

איך הציון מחושב

כל כלי מחזיר ציון-משנה 0–100. הציון הכולל הוא ממוצע משוקלל (המשקלים מסתכמים ל-100 — למשל TLS ‏13%, headers ‏9%, HTML ‏9%). כלי שלא הצליח לרוץ מוחרג מהממוצע במקום להיחשב אפס, כך שהמספר נשאר כן ויציב.

החלק הכן: פסיבי ≠ חסין

סריקה פסיבית מודדת את היגיינת האבטחה החיצונית שלך. היא לא מוכיחה שאף אחד לא יכול לפרוץ — אפשר לקבל 100 ועדיין להיות פגיע להזרקה שמתגלה רק כשתוקפים אקטיבית את הקלט. הוכחת חסינות אמיתית מחייבת ניצול (exploitation), שזו יכולת נפרדת ומגודרת.

סורק אבטחה (פסיבי)

מסתכל על האתר שלך מבחוץ

מהיר, בטוח, רץ על כל כתובת

עונה: "מה היגיינת האבטחה שלי?"

בדיקת חדירה (אקטיבי)

תוקף אותו אקטיבית — עם הוכחה

אורקלים ל-SQLi/SSTI עיוור, OOB canary, PoC

עונה: "האם באמת אפשר לפרוץ אותי?"

רק על דומיינים שהוכחת שבבעלותך

חוקי ובטוח מהיסוד

בדיקה אקטיבית רצה רק על דומיין שהוכחת שאתה שולט בו (רשומת DNS — לא רק checkbox). ה-probes הם canaries לא-הרסניים: הם מוכיחים שחולשה קיימת, לעולם לא מוחקים או פוגעים בכלום. זה הסטנדרט שכל חברת pentest מקצועית פועלת לפיו.

חזרה לדף הבית