Analýza webu

Co analýza kontroluje

Nástroj jednou stáhne HTML zadané stránky, bez spouštění JavaScriptu: projde nejvýše pět přesměrování, počká až 10 sekund a přečte první 2 MB. Z odpovědi vyhodnotí čtyři oblasti:

• Bezpečnostní hlavičky – HSTS, Content-Security-Policy, ochranu proti vkládání do rámu (X-Frame-Options nebo CSP frame-ancestors), X-Content-Type-Options, Referrer-Policy a Permissions-Policy.
• Metadata pro vyhledávače – titulek, popis, nadpis H1, kanonickou adresu, Open Graph pro sdílení, pokyny pro roboty (včetně hlavičky X-Robots-Tag), viewport a jazyk stránky.
• Strukturovaná data – jestli stránka obsahuje JSON-LD, který jde přečíst (schéma neověřujeme), a jestli z něj vyplývá, kdo web provozuje. Typy Article a BreadcrumbList jen zobrazíme, protože se hodí jen pro některé stránky.
• Výkon – Google PageSpeed Insights změří stránku na simulovaném mobilu (LCP, CLS, TBT, TTFB, Speed Index). Pokud má Google dost dat od skutečných návštěvníků, ukážeme i jejich INP.

Jak číst výsledek

Každá kontrola má váhu podle významu. Celkové skóre tvoří z 30 % bezpečnost, z 30 % metadata, z 20 % strukturovaná data a z 20 % výkon. Když měření výkonu není k dispozici, počítáme jen první tři oblasti (40 %, 35 % a 25 %). Varování dostane polovinu bodů, položky označené „Nenalezeno“ skóre neovlivňují.

Pokud web odpoví chybovým stavem (například 403 od firewallu), upozorníme vás: výsledek pak popisuje chybovou stránku, ne váš běžný obsah.

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'; frame-ancestors 'none'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Jak doplnit chybějící hlavičky bez výpadku

1. 1

   Najděte, kde se odpověď skládá

   Hlavičky můžete nastavit na webovém serveru (nginx, Apache), v CDN (například Cloudflare) nebo v aplikaci. Nastavte je na jednom místě, ať se navzájem nepřepisují.

2. 2

   Začněte bezpečnými hlavičkami

   X-Content-Type-Options, Referrer-Policy a Permissions-Policy web obvykle nerozbijí. HSTS začněte s kratší dobou, například max-age=86400, a až ověříte, že všechny subdomény fungují na HTTPS, prodlužte ji na rok.

3. 3

   CSP nejdřív jen sledujte

   Nasaďte Content-Security-Policy-Report-Only, projděte hlášená porušení a doplňte povolené zdroje. Teprve potom politiku vynuťte. Vyhněte se 'unsafe-inline' u skriptů, jinak CSP proti XSS téměř nechrání.

4. 4

   Ověřte výsledek

   Spusťte analýzu znovu a v nástrojích pro vývojáře zkontrolujte, že se v konzoli neobjevují zablokované zdroje.

Co analýza neříká

• Kontrolujeme, jestli hlavičky existují a mají rozumný tvar, ne jestli jsou nastavené dostatečně přísně. CSP s 'unsafe-inline' projde, i když proti XSS chrání málo.
• Hodnotíme jednu stránku. Jiné části webu mohou mít jiné nastavení.
• Nespouštíme JavaScript. Titulek, metadata nebo strukturovaná data, která na stránku doplňuje až skript, proto neuvidíme.
• Nehledáme zranitelnosti v aplikaci, zastaralé komponenty ani chyby v přihlašování. Ty odhalí až penetrační test.
• Skóre metadat a strukturovaných dat je naše orientační hodnocení, ne předpověď pozic ve vyhledávání. Podle Googlu nepotřebuje viditelnost v AI odpovědích žádné zvláštní značky, rozhoduje užitečný obsah a běžné SEO.
• Výsledky PageSpeed se mezi měřeními liší o několik bodů. Spolehlivější jsou data od skutečných návštěvníků, pokud je Google má.
• Kvůli zátěži cizích serverů povolujeme dvě analýzy denně. Výsledek neukládáme na server; poslední skóre si pamatuje jen váš prohlížeč.

Časté otázky