Defaults.Exposed › Методология
Методология — как мы оцениваем
Каждый домен оценивается по 34 проверкам (25 влияют на оценку + 9 информационных) в пяти категориях: безопасность электронной почты, TLS и сертификаты, веб-безопасность, безопасность DNS и инфраструктура. Вот как именно это работает — никакого «чёрного ящика».
Как формируется оценка
Каждая проверка возвращает пройдено, не пройдено или N/A. Оценка домена — это доля баллов, набранных по применимым к нему проверкам, переведённая в буквенную оценку:
| Оценка | Баллы |
|---|---|
| A+ | 95% + |
| A | 90% + |
| B | 80% + |
| C | 70% + |
| D | 60% + |
| F | ниже 60% |
Оценки также относительны — процентиль показывает, где домен находится относительно всех доменов своей зоны, а не только относительно фиксированного списка проверок.
Правило отсутствия данных (N/A никогда не засчитывается как провал)
Если проверку действительно невозможно выполнить (тайм-аут, скрытая запись), она помечается как N/A и исключается из оценки — это никогда не работает против вас. Это отличается от настоящего провала (нет DMARC, нет HTTPS), который засчитывается как реальная неудача. Домен без SPF/DMARC справедливо получает низкую оценку: его можно подделать.
Принципы
- Независимо и снаружи. Мы измеряем то, что может наблюдать любой в интернете — доступ к вашим системам не требуется.
- Публично — только в агрегированном виде. Мы публикуем закономерности (по доменным зонам, странам, отраслям). Оценка отдельного домена видна только его подтверждённому владельцу — никогда публично.
- Прозрачно. Полный список проверок ниже; исправления бесплатны.
- Обработка в ЕС. Данные обрабатываются в ЕС.
34 проверки
Каждая проверка, что она значит для вашего бизнеса и влияет ли она на вашу оценку. Перейдите по ссылке за полным руководством «во что это вам обходится + как исправить».
Безопасность электронной почты
Можно ли выдать себя за ваш домен в электронной почте и доходит ли ваша собственная почта до папки «Входящие».
| Проверка | Что это значит для вашего бизнеса | Влияет на оценку? |
|---|---|---|
| SPF-запись | Не даёт мошенникам отправлять письма, выглядящие как от вас, и помогает вашей почте доходить до папки «Входящие». | Учитывается |
| Строгость политики SPF | Слабый SPF лишь предупреждает; строгий действительно блокирует подделки. | Учитывается |
| Политика DMARC | Инструкция, которая указывает почтовым провайдерам отклонять поддельные письма — главный механизм защиты от подделки. | Учитывается |
| Отчётность DMARC | Отчёты о том, кто отправляет почту от вашего имени, чтобы вы замечали злоупотребления и ошибки настройки. | Учитывается |
| DKIM | Криптографическая подпись, доказывающая, что письмо действительно от вас; повышает доставляемость. | Учитывается |
| MX-записи | Настроен ли ваш домен правильно для приёма почты в принципе. | Учитывается |
| Обратный DNS (PTR) | Помогает вашему почтовому серверу выглядеть легитимным, чтобы письма не попадали в спам. | Учитывается |
TLS и сертификаты
Замочек — шифруется ли трафик к вашему сайту действующим современным сертификатом.
| Проверка | Что это значит для вашего бизнеса | Влияет на оценку? |
|---|---|---|
| Доступность HTTPS | Без него браузеры предупреждают посетителей «Не защищено», и они уходят. | Учитывается |
| Действительность сертификата | Доверенный, корректно выпущенный сертификат; недействительный вызывает пугающие предупреждения браузера. | Учитывается |
| Срок действия сертификата | Сертификат на грани истечения выводит ваш сайт из строя полноэкранным предупреждением. | Учитывается |
| Алгоритм подписи | Используется современный, не взломанный алгоритм подписи (а не устаревший SHA-1). | Учитывается |
| Стойкость ключа | Достаточная длина ключа, чтобы шифрование нельзя было взломать перебором. | Учитывается |
| Версия TLS | Современный TLS (1.2/1.3); старые версии взломаны и не проходят проверки безопасности. | Учитывается |
| Стойкость шифра | Надёжное шифрование, защищающее данные при передаче. | Учитывается |
| Сжатие TLS | Сжатие отключено во избежание известного класса атак. | Информационно |
| OCSP stapling | Более быстрая и приватная проверка отзыва сертификатов. | Информационно |
| Безопасное переподключение | Защищает от атаки на переподключение TLS. | Информационно |
Веб-безопасность
HTTP-заголовки, которые защищают браузеры ваших посетителей от распространённых атак.
| Проверка | Что это значит для вашего бизнеса | Влияет на оценку? |
|---|---|---|
| HSTS | Заставляет использовать защищённое соединение при каждом визите, чтобы клиентов нельзя было перевести на небезопасное. | Учитывается |
| Перенаправление HTTP→HTTPS | Направляет посетителей, пришедших по http, сразу на защищённую версию. | Учитывается |
| Content-Security-Policy | Снижает вероятность того, что взломанный или внедрённый скрипт похитит данные клиентов с вашего сайта. | Учитывается |
| Защита от кликджекинга | Не даёт злоумышленникам встроить ваш сайт, чтобы обманом заставить клиентов нажимать на нужные им элементы. | Учитывается |
| Защита от MIME-sniffing | Не даёт браузерам неверно интерпретировать файлы способами, которыми могут воспользоваться злоумышленники. | Учитывается |
| Referrer-Policy | Контролирует, какая информация об адресе утекает на другие сайты, когда посетители уходят. | Учитывается |
| Кросс-доменные заголовки (COOP/CORP/COEP) | Продвинутая изоляция, усиливающая защиту от межсайтовых утечек данных. | Информационно |
Безопасность DNS
Можно ли захватить или вывести из строя основы вашего домена.
| Проверка | Что это значит для вашего бизнеса | Влияет на оценку? |
|---|---|---|
| CAA-записи | Не дают никому, кроме выбранного вами провайдера, выпускать SSL-сертификаты для вашего домена. | Учитывается |
| DNSSEC (DS) | Не даёт злоумышленникам захватить ваш домен и отправить посетителей на поддельную копию сайта. | Учитывается |
| DNSSEC (DNSKEY) | Ключ подписи, благодаря которому защита DNSSEC реально работает. | Учитывается |
| Разнообразие серверов имён | Несколько независимых серверов имён, чтобы один сбой не вывел вас из строя. | Учитывается |
| Конфигурация SOA | Корректно настроенная DNS-запись «начала зоны» (start of authority). | Учитывается |
| Поддержка IPv6 | Доступность по современному интернет-протоколу. | Информационно |
Инфраструктура
Контекст о том, где и как размещён ваш сайт (информационно — на оценку не влияет).
| Проверка | Что это значит для вашего бизнеса | Влияет на оценку? |
|---|---|---|
| Обнаружение CDN / WAF | Защищает ли ваш сайт сеть доставки контента / межсетевой экран веб-приложений. | Информационно |
| Хостинг-провайдер | Определяет, где размещён ваш сайт. | Информационно |
Хотите узнать, где находится ваш домен по всем 34 проверкам? Запустить бесплатную проверку → (конфиденциально; оценку домена мы показываем только его подтверждённому владельцу).