Kaip pasitikrinti savo svetainės saugumą per 10 sekundžių (be jokios registracijos)

Kas yra /nemokamas-auditas

azorasec.lt/nemokamas-auditas yra AETHER nemokamas instant pasyvus auditas: įvedi savo domeną (pvz. mano-imone.lt), paspaudi mygtuką, ir per maždaug 10 sekundžių gauni 15 patikrinimų suvestinę su score 0–100, kiekvieno punkto status (✅ / ⚠️ / ❌), KSRA punkto nuoroda ir trumpu paaiškinimu, ką tai reiškia praktiškai. Be registracijos. Be el. pašto. Rezultatas pasilieka tavo naršyklėje — mes nieko nesaugome į DB.

15 patikrinimų, kuriuos atliekame

Visi patikrinimai yra passive— naudojam tik tai, ką bet kuris naršyklės vartotojas internete jau mato: standartiniai HTTP atsakymai, viešieji DNS įrašai, TLS handshake metaduomenys. Jokio prisijungimo, jokio scenarijų vykdymo, jokio kliento autorizavimo reikalingumo — todėl gali patikrinti BET KOKĮ public domain'ą be teisinės rizikos.

HTTP saugumo antraštės (6 patikrinimai)

• HSTS(KSRA 32.4 p.) — naršyklės žino, kad visada turi naudoti HTTPS, net pirmojo apsilankymo metu. Be HSTS pirma užklausa per HTTP gali būti perimta MITM scenarijuje.
• Content-Security-Policy(KSRA 32.3 p.) — riboja, iš kur svetainė gali užkrauti scripts/styles/images. Su CSP net jei kažkur yra XSS pažeidžiamumas, exfiltration dažniausiai blokuojama.
• X-Frame-Options(KSRA 32.2 p.) — neleidžia trečiosioms svetainėms įdėti tavo puslapio į <iframe>. Apsauga nuo clickjacking.
• X-Content-Type-Options: nosniff (KSRA 32.5 p.) — neleidžia naršyklei interpretuoti, pvz., užkrautą .jpg kaip .html. MIME sniffing blokavimas.
• Referrer-Policy— kontroliuoja, kiek informacijos apie tavo URL siunčiama, kai vartotojas klikteli external link'ą. Privatumo apsauga.
• Permissions-Policy— default neleidžia skriptams pasiekti mikrofono, kameros, geolocation be eksplicit opt-in'o.

DNS authentication chain (3 patikrinimai, 8 DKIM selectoriai)

• SPF su -all hard fail (KSRA 52.3 p.) — nurodo mail provider'iams atmesti laiškus iš neautorizuotų IP, kurie teigia esą iš tavo domeno. Be hard fail phishing'o surface plati.
• DMARC su p=quarantine arba p=reject(KSRA 52.3 p.) — pasako Gmail, Outlook ir kt., ką daryti su laiškais, kurie nepraeina SPF/DKIM patikros. Tai svarbiausia phishing apsauga 2026 m. — ir vis dar didžiulė LT B2B problema.
• DKIM— tikriname 8 standartinius selectorius (default, google, brevo, resend, selector1, selector2, mail, k1) viešų raktų egzistavimo. Be DKIM laiškai negali būti kriptografiškai patvirtinti kaip kilę iš tavo domeno.

TLS (2 patikrinimai)

• Sertifikato galiojimas(KSRA 32.1 p.) — kiek dienų liko iki expiry. Expired arba netrukus expire&apose sertifikatas — instant red flag.
• TLS protokolo versija— ar serveris jau palaiko TLS 1.3 (modernus), ar vis dar tik TLS 1.2 (priimtina), ar dar TLS 1.0/1.1 (deprecated, KSRA neatitikimas).

Schema.org + crawl discoverability (4 patikrinimai)

• JSON-LD blokų skaičiushomepage&apose — AI asistantai (Google, ChatGPT, Claude, Perplexity) be struktūruotų signalų mato tik HTML tekstą. SEO + GEO praradimas.
• Organization entity— ar yra Schema.org Organization su legalName, address, contactPoint. Tai vienintelis standartas, kuriuo AI asistantai patikrina, kas tu esi.
• robots.txt— ar egzistuoja ir grąžina HTTP 200. Be jo crawlers neturi instrukcijų.
• sitemap.xml— ar pasiekiamas ir nurodytas robots.txt'e. Be jo crawl efficiency krenta.

Ko TIKRAI NEDARO šis įrankis

Ši riba yra principinė — ne dėl funkcionalumo, o dėl teisės. /nemokamas-auditas nedaro:

• Jokio port scan'o (nmap, masscan ir pan.).
• Jokio brute-force bandymo prieš login formas.
• Jokio exploit'o arba CVE žvalgymo prieš aptiktas paslaugas.
• Jokio credential probing'o (default slaptažodžiai, common admin paths).
• Jokio SQL injection ar XSS bandymo prieš formas.

Tai svarbu, nes: šie veiksmai be domeno owner autorizacijos LT teisėje gali būti interpretuoti kaip neteisėtas prieigos prie informacinės sistemos bandymas pagal LR BK 198¹ str. Mes sąmoningai laikomės passive surface'o, kad įrankis būtų teisiškai švarus net tarp nepažįstamų domeną. Aktyvūs patikrinimai (port scan, CVE fingerprint, web app pažeidžiamumai) pradeda veikti tik pilname AETHER audite, kuris pradedamas tik su raštišku owner patvirtinimu.

Realus pavyzdys — du LT domenai šalia

Per passive audit pavyzdys (Kriolis + Alobera) case study mes detaliai išanalizavome du realius Lietuvos B2B domenus. Trumpas score palyginimas:

• kriolis.com— ~26/100 (raudonas). Be HSTS, be CSP, be DMARC (NXDOMAIN), be DKIM, be Schema.org. Tipinis „dar neprioritizuotas“ saugumas vidutinio dydžio LT CRM versle.
• nrdcs.lt— ~58/100 (geltonas). Turi dalinę CSP, DMARC monitor mode, geresnė TLS konfigūracija — bet vis dar trūksta HSTS preload, DKIM keys, X-Content-Type-Options.

Skirtumas tarp šių dviejų nėra dėl įmonės dydžio — abi yra panašaus skalės LT verslai. Skirtumas yra dėl kibernetinio higienos lygio: kiek istoriškai investuota į matomus „hygiene“ elementus. Geroji žinia — daugumą šių atotrūkių galima uždaryti per ~1 val. webmaster'io darbo (HSTS, X-Frame-Options, nosniff header'iai, DMARC monitor mode).

Kas po nemokamo audito

Score yra užvedimas, ne sprendimas. Jei tavo rezultatas raudonas arba geltonas ir nori suprasti, kaip iš to išeiti su konkrečiomis sąnaudomis ir prioritetais, AETHER siūlo:

• 30 min. nemokama konsultacija— aptarti tavo score'ą, kurie findings&apose kritiniai jūsų kontekstui, kokios alternatyvos.
• Pirmieji 5 klientai — pilnas vienkartinis auditas nemokamai (€1500 vertė). Apima klausimyną pagal 8 KSRA reikalavimų blokus, autorizuotą techninį skenavimą, AI rekomendacijas su priorit. matrica, HITL specialisto peržiūrą, lietuvišką PDF ataskaitą su KSRA + NIS2 + BDAR Art. 32 cross-mapping.
• Standartinis vienkartinis auditas— €1500, 48 val. nuo užsakymo. Tas pats apimties, kaip pilotinis, tik už kainą.

Patikrink savo svetainę dabar

azorasec.lt/nemokamas-auditas →

Ne reikia el. pašto. Ne reikia registracijos. Ne reikia mokėjimo. Tikrąjį 10 sekundžių score pamatysi savo naršyklėje, ir tik tada apsispręsi, ar nori pereiti į pilną AETHER auditą arba peržiūrėti /kainostier'ius.