בדיקת אבטחת אתר — מה בודקים, איך, ומה מתקנים קודם (2026)
בדיקת אבטחת אתר היא סריקה שמזהה במה האתר חשוף — תעודה שפגה, גרסאות מיושנות, כותרות חסרות, ממשק ניהול פתוח — ומדרגת את הממצאים לפי מה שבאמת מסוכן.
החלק הקשה אינו הסריקה. הוא מה עושים עם ארבעים הממצאים שחוזרים.
מה נבדק בפועל
תעודת SSL. האם היא בתוקף, על איזה דומיינים היא חלה, ומתי היא פגה. תעודה שפגה מציגה לגולש אזהרה אדומה, וזה מבריח יותר מכל פרצה.
כותרות אבטחה. הוראות שהשרת שולח לדפדפן ומצמצמות נזק מהתקפות נפוצות. הן חינמיות להוסיף ולרוב פשוט לא הוגדרו.
גרסאות תוכנה. מערכת ניהול, תוספים, ושפת השרת. רוב הפריצות מנצלות חולשות ידועות שכבר תוקנו בגרסה חדשה יותר — כלומר הן היו נמנעות.
חשיפת מידע. קבצי גיבוי שנשארו בשרת, ספריות פתוחות לצפייה, הודעות שגיאה שמגלות נתיבים פנימיים.
ממשק הניהול. האם הוא נגיש לכולם, האם יש הגבלת ניסיונות התחברות, והאם המשתמש הראשי נקרא בשם ברירת המחדל.
טפסים. האם יש הגנה בסיסית מפני בוטים, והאם יש ולידציה גם בצד השרת ולא רק בדפדפן.
איך קוראים את התוצאה בלי לטבוע
כמעט כל אתר מייצר רשימה ארוכה, כי כלים מדווחים גם על דברים זניחים. הכמות אינה סימן לחומרה. מיינו כל ממצא לפי שתי שאלות בלבד:
האם זה חוסם או חושף? תעודה שפגה חושפת. כותרת חסרה בדף שאין בו טפסים — פחות. כמה עולה לתקן? הגדרה של דקה, או פרויקט.
מה שחושף וזול — היום. מה שחושף ויקר — מתכננים. מה שלא חושף וזול — עושים בדרך. מה שלא חושף ויקר — לרוב לא עושים, ובצדק.
הקטגוריה הראשונה כמעט תמיד קצרה. דוח עם ארבעים ממצאים מתכווץ בדרך כלל לשלושה-ארבעה שבאמת משנים.
סדר התיקון
- תעודת SSL — אם פגה או עומדת לפוג.
- גרסאות מיושנות עם חולשה ידועה. זו הסיבה מספר אחת לפריצות.
- ממשק ניהול חשוף — הגבלת ניסיונות, אימות דו-שלבי, שם משתמש שאינו ברירת מחדל.
- קבצים שנשארו בשרת — גיבויים, קבצי הגדרות, ספריות פתוחות.
- כותרות אבטחה — זול ומהיר.
- הגנת טפסים.
הסדר הוא לפי סיכון, לא לפי הציון בדוח. ציון כללי הוא מדד גס: אפשר לקבל ציון בינוני עם אתר תקין לחלוטין, ולהפך.
מה בדיקה אוטומטית לא תגלה
חשוב לדעת את הגבולות. סריקה מזהה מה שבור או חשוף מבחוץ. היא לא תדע אם הסיסמה של מנהל האתר היא זו שדלפה בפריצה אחרת, אם עובד לשעבר עדיין מחזיק גישה, או אם יש הרשאה פנימית רחבה מדי.
היא גם לא תבדוק גיבויים. וזה הפער הכי מסוכן: אתר יכול לעבור סריקה בהצלחה מלאה ולא להיות ניתן לשחזור. גיבוי אוטומטי, מחוץ לשרת, שנבדק פעם אחת בשחזור — זה מה שמפריד בין תקלה לאסון, ואף סורק לא יבדוק את זה במקומכם.
כל כמה זמן
בדיקה מלאה כל רבעון, ובדיקה מהירה אחרי כל שינוי משמעותי: עיצוב חדש, מעבר אחסון, הוספת מערכת או תוסף.
הסיבה שזה חוזר היא שאתר לא נשאר תקין מעצמו — תוסף מתעדכן, תעודה פגה, ספק משנה הגדרה. אף אחד מהשינויים האלה לא מודיע לכם.
איך מריצים בדיקה
בדיקת האתר החינמית שלנו סורקת אבטחה, תקינות ומהירות, ומחזירה דוח בעברית עם הפרדה בין מה שדחוף למה שיכול לחכות — וזו בדיוק ההפרדה שרוב הכלים לא עושים.
מעבר לזה שווה לבדוק ידנית שני דברים שכלי אוטומטי לא רואה: שהגיבוי באמת רץ, ושאין משתמשים ישנים עם הרשאות ניהול. שתי בדיקות של דקה שמכסות את מה שהסורק מפספס.
שלוש בדיקות שאתם יכולים לעשות עכשיו
בלי כלים ובלי ידע טכני, שלוש דקות:
המנעול בשורת הכתובת. אם הדפדפן מציג אזהרה או "לא מאובטח" — זו הבעיה הראשונה לטפל בה, והיא מבריחה גולשים לפני שהם קוראים מילה.
חיפוש site: בגוגל. הקלידו site: ואחריו הכתובת שלכם. אם מופיעים עמודים שאתם לא מכירים — שמות מוזרים, שפות זרות, מוצרים שלא מכרתם — זה סימן מובהק לתוכן שהושתל.
כניסה לממשק הניהול מדפדפן פרטי. אם הוא נפתח בלי הגבלה ובלי אימות שני, זו הדלת שהכי הרבה בוטים דופקים עליה.
סימנים שכבר קרה משהו
לפעמים הבדיקה מגיעה מאוחר. אלה הסימנים הנפוצים לפריצה: הפניות אוטומטיות לאתר אחר, קבצים או משתמשים שלא יצרתם, האטה פתאומית, גוגל שמסמן את האתר כמסוכן, או תלונות על דואר זבל שנשלח בשמכם.
לעיתים קרובות ההודעה הראשונה מגיעה דווקא מגוגל או מספק האחסון ולא מכם — וזו סיבה טובה לחבר את האתר ל-Search Console, שמתריע על תוכן זדוני.
מה עושים אם מצאתם משהו
- מורידים את האתר או מעבירים למצב תחזוקה — כדי לא להדביק מבקרים ולא להחמיר את הענישה בגוגל.
- מחליפים את כל הסיסמאות — ניהול, אחסון, בסיס נתונים, FTP ומייל.
- משחזרים גיבוי נקי מלפני האירוע.
- מעדכנים הכול לפני החזרה לאוויר.
- מבקשים בדיקה חוזרת בגוגל אם האתר סומן.
השלב הרביעי הוא זה שמדלגים עליו, ולכן אתרים רבים נפרצים שוב תוך ימים — נכנסים בחזרה מאותה דלת בדיוק.
למי כדאי ניטור שוטף ולא בדיקה רבעונית
אם האתר הוא ערוץ המכירות המרכזי שלכם, או שיש בו תשלומים ופרטי לקוחות, רבעון הוא יותר מדי. שם עדיף ניטור שבודק כל כמה דקות שהאתר עונה ומתריע כשמשהו משתנה — כי אצלכם יום של תקלה שווה כסף, לא רק אי-נוחות.
שורה תחתונה
בדיקת אבטחה שווה בדיוק כמו הפעולה שנעשית אחריה. הדוח אינו המטרה אלא רשימת מועמדים, ורובם לא יתוקנו ובצדק. טפלו קודם במה שחושף וזול לתיקון, ודאו שיש גיבוי שנבדק, וחזרו כל רבעון. זה מספיק כדי להיות במצב טוב יותר מרוב האתרים ברשת. את התמונה הרחבה כתבתי במדריך אבטחת האתר.
רוצים לשלוח את המסמך הראשון שלכם לחתימה — עכשיו? מערכת החתימות של Eran-AI מקבלת קובץ PDF או Word (DOCX), מייצרת לינק לחתימה מהנייד, ומחזירה לכם קובץ חתום עם פרטי הלקוח כליד. להתחלה חינם → · יש שאלה? דברו איתי →
שאלות נפוצות
מה זו בדיקת אבטחת אתר?
סריקה שמזהה במה האתר חשוף: תעודת SSL שפגה, גרסאות תוכנה מיושנות, כותרות אבטחה חסרות, קבצים שנשארו בשרת וממשק ניהול פתוח. הערך שלה אינו ברשימה אלא בדירוג — מה באמת מסוכן ומה זניח.
מה בודקים בבדיקת אבטחה?
שישה תחומים: תעודת SSL ותוקפה, כותרות אבטחה שהשרת שולח, גרסאות של מערכת הניהול והתוספים, חשיפת מידע כמו קבצי גיבוי וספריות פתוחות, ממשק הניהול והגישה אליו, והגנה בסיסית על טפסים.
קיבלתי דוח עם עשרות ממצאים — זה נורמלי?
לגמרי. כלים מדווחים גם על דברים זניחים, והכמות אינה סימן לחומרה. מיינו כל ממצא לפי שתי שאלות: האם זה חושף משהו, וכמה עולה לתקן. דוח עם ארבעים ממצאים מתכווץ בדרך כלל לשלושה-ארבעה שמשנים.
מה מתקנים ראשון?
תעודת SSL אם פגה, אחר כך גרסאות מיושנות עם חולשה ידועה — זו הסיבה מספר אחת לפריצות — ואז ממשק ניהול חשוף וקבצים שנשארו בשרת. כותרות אבטחה והגנת טפסים אחריהם, כי הם זולים ומהירים.
הציון הכללי בדוח חשוב?
פחות משנדמה. הוא מדד גס: אפשר לקבל ציון בינוני עם אתר תקין לחלוטין, ולהפך. עדיף להסתכל על הממצאים הספציפיים ועל השאלה אם הם חושפים משהו בפועל.
מה בדיקה אוטומטית לא מגלה?
היא מזהה מה שבור או חשוף מבחוץ. היא לא תדע אם סיסמת מנהל דלפה בפריצה אחרת, אם עובד לשעבר עדיין מחזיק גישה, או אם יש הרשאות פנימיות רחבות מדי. והכי חשוב — היא לא בודקת גיבויים.
למה גיבוי הוא הפער הכי מסוכן?
כי אתר יכול לעבור סריקה בהצלחה מלאה ולא להיות ניתן לשחזור. גיבוי אמיתי הוא אוטומטי, יושב מחוץ לשרת, ונבדק לפחות פעם אחת בשחזור. אף סורק לא יבדוק את זה במקומכם.
כל כמה זמן לבדוק?
בדיקה מלאה כל רבעון, ובדיקה מהירה אחרי כל שינוי משמעותי — עיצוב חדש, מעבר אחסון, הוספת תוסף או מערכת. אתר לא נשאר תקין מעצמו, ואף אחד מהשינויים האלה לא מודיע לכם.
צריך מומחה כדי לתקן את הממצאים?
לא לכולם. עדכוני תוספים, מחיקת קבצים מיותרים, שינוי שם משתמש ניהול והפעלת אימות דו-שלבי — כל אלה בהישג יד. תיקונים בשרת, בכותרות ובקוד לרוב דורשים גורם טכני.
איך יודעים שהתיקון עבד?
מריצים את אותה בדיקה שוב ומשווים. חשוב להשתמש באותו כלי ובאותם תנאים, כי כלים שונים נותנים ציונים שונים לאותו אתר ואי אפשר להשוות ביניהם.
