Erakonnad võtavad valimisteks mõõtu, veebis sõidetakse veel abiratastega

25.09.2026

Valimiste tuul tõstab Eestis juba loosungeid ja kampaaniakujundusi. Ent üheksa erakonna ja poliitilise ühenduse veebilehtede ülevaatusel paistab, et digirajal pole veel kõigil kiiver peas: veebiturvalisuse osas sõidetakse kohati ikka abiratastega.

Hea uudis kõigepealt: kõigi üheksa saidi TLS-ühendus oli korras. Ka vanad TLS 1.0 ja 1.1 versioonid olid keelatud. Digitaalne turvavöö on seega enamikul vähemalt kinni.

Kui aga vaadata teisi kaitsemeetmeid, muutub olukord ebaühtlasemaks. Näiteks Content-Security-Policy – justkui veebilehe turvapiire, mis aitab piirata pahatahtlike skriptide tegutsemist, puudus kõigil üheksal saidil. Ühel neist oli küll samanimeline päis, kuid see tegi vaid üht: käskis brauseril ebaturvalised lingid HTTPS-iks ümber kirjutada. See on pisut nagu panna jalgrattale helkur ja nimetada seda turvapuuriks.

Eekoos.ee võttis kõige järsema kurvi: sait vastas tavalise HTTP kaudu ega suunanud külastajat automaatselt turvalisele HTTPS-ile. Veelgi enam, selle kaudu väljastati seansiküpsis ilma kaitselippudeta. Avalikus WiFi-võrgus on see umbes sama, mis saata koduvõtmed postkaardiga. Siin oleks esimene kiire võit lihtne: HTTP päringud tuleks kohe HTTPS-i suunata ja küpsise kaitse korda teha.

reform.ee näitas teistsugust trikki. Kaitsepäised olid olemas, kui vastus tuli vahemälust värskelt, ent tavalise vahemälust saadud vastuse korral puudusid. Veebikülastaja ei peaks turvalisuse nimel lootma sellele, kas tal vedas ja sattus just õige vahemälukihi peale.

keskerakond.ee ja eerk.ee jätsid avalikult nähtavaks WordPressi kasutajate loetelu. See ei tähenda iseenesest, et kellelegi oleks kontole ligipääs, aga annab võimalikele ründajatele kasutajanimesid kandikul kätte. Väike uks, mida poleks vaja lahti hoida.

Kõige paremini läks nähtavate kaitsemeetmete arvestuses vabaerakond.ee-l: sellel olid mitmed olulised päised olemas ning lehel paistis vähe kolmanda poole teenuseid. Ent ka seal jäi Content-Security-Policy lisamata. Esimene koht, aga karikas jääb veel ootele.

parempoolsed.ee oli päiste poolest tugevam kui paljud WordPressi konkurendid, ent lehel oli palju väliseid teenuseid ja linke, mis avanevad uues aknas ilma soovitatava noopener kaitseta. See on pisut nagu sõita korraliku kiivriga, aga jätta sadulakott lahti.

Suurema osa saitide ühine taustatehnoloogia oli WordPress ning paljud kasutasid sama hostingu keskkonda. See võib aidata uuendusi ühtlasemalt teha, kuid tekitab ka ühise sõltuvuse: kui sama teenusepakkuja või süsteemi probleem tabab, võib see puudutada korraga mitut veebilehte. Siin võiks erakondade IT-tiimide vahel olla rohkem koostööd kui ainult kampaaniagraafikute jagamine.

Lühidalt: veebilehtede mootor töötab ja TLS-turvavöö on kõigil kinnitatud, aga turvapiirded, kiivrid ja lahtiste küpsiste sulgemine vajavad veel tööd. See ülevaade oli passiivne hetkepilt, mitte põhjalik läbitungimistest ega tõend, et mõni sait oleks kompromiteeritud. Kuid valimisteks mõõtu võttes võiks digirajal abirattad juba maha võtta — pärast seda, kui pidurid on kontrollitud.

Hinnang põhineb 27. septembri 2026 seisuga avalikult nähtud avalehtedel, päistel ja TLS-ühendustel. See ei hõlma näiteks kõigi lisamoodulite auditit ega sisselogitud kasutaja voogude testimist.

Turvalisuse ülevaade — Eesti erakondade ja kodanikuühenduste veebilehed

Kuupäev: 2026-09-27 Metoodika: passiivne hinnang. Kasutatud ainult tavapäraseid GET/HEAD päringuid ja TLS-käandlust (openssl s_client). Aktiivset skannimist, portide skaneerimist, vulnerability scanner'e ega ekspluatatsiooni ei tehtud. Ulatus: 9 veebilehte, avaleht + päised.

Hoiatus: kõik allpool toodud leiud on peatavalised, mitte kriitilised haavatavused. Need on konfiguratsiooni- ja kaitsekihtide puudujäägid, mis suurendavad rünnaku mõju, kui muu rünnak juba õnnestub.

Kokkuvõte

Asukoht	Hinnang
Kõik 9 saiti avanevad	✅
TLS 1.0 / 1.1 keelatud kõigil	✅
Sertifikaadid kehtivad, kõik auto-renovateeritavad	✅
HTTP → HTTPS ümbersuunamine	8/9 ✅ (`eekoos.ee` ❌)
`Content-Security-Policy` tõhus reeglistik	0/9 ❌
Sessiooniküpsis ilma `Secure`/`HttpOnly`/`SameSite`	4/9 ❌
`Strict-Transport-Security` olemas	6/9
`Permissions-Policy` olemas	1/9

Kolm süsteemset probleemi, mis on olulisemad kui üksikute saitide vead:

Ühelgi saidil pole tõhusat CSP-d. See on puuduv kaitsekiht kõigil — XSS-st põhjustatud andmevarguse korral pole ühtki piirangut, kuhu skript tohib minna.

7/9 saiti jookseb WordPressi Zone.ee virtuaalserveris. Kõik need näitavad Server: Apache / ZoneOS. Ühe hostingu või WordPressi tuumavea korral on korraga mõjutatud seitse poliitilist kodulehte — süsteemne ühise sõltuvuse risk.

Võrdlustabel — põhipäised

Sait	HTTP→HTTPS	HSTS	CSP	X-Frame-Options	X-Content-Type-Opt	Referrer-Policy	Permissions-Policy	Sessiooniküpsis	Serveri avalikustamine
sotsid.ee	✅ 301	❌	❌	❌	❌	❌	❌	⚠️ Secure+SameSite	Apache / ZoneOS
ekre.ee	✅ 301	✅ täielik	❌¹	✅ SAMEORIGIN	✅ nosniff	✅ same-origin	❌	❌ palja lipuga	varjatud
reform.ee	✅ 301	⚠️²	❌	✅ SAMEORIGIN	✅ nosniff	✅ strict-origin	❌	✅ ei määra	Apache / ZoneOS
keskerakond.ee	✅ 301	❌	❌	❌	❌	❌	❌	✅ ei määra	Apache / ZoneOS
parempoolsed.ee	✅ 301	✅ osaline³	❌	✅ SAMEORIGIN	✅ nosniff	✅ strict-origin	❌	❌ palja lipuga	cloudflare
vabaerakond.ee	✅ 301	✅ osaline	❌	✅ SAMEORIGIN	✅ nosniff	✅ strict-origin	✅	✅ ei määra	Apache / ZoneOS
eesti200.ee	✅ 301	✅ täielik	❌	✅ SAMEORIGIN	✅ nosniff	✅ same-origin	❌	❌ palja lipuga	varjatud
eekoos.ee	❌ 200 üle http	❌	❌	❌	❌	❌	❌	❌ ka üle http	Apache/2
eerk.ee	✅ 301	❌	❌	❌	❌	❌	❌	✅ ei määra	Apache / ZoneOS

¹ ekre.ee saadab Content-Security-policy: upgrade-insecure-requests — see ei ole kaitse. Reegel üksnes sunnib brauserit HTTP-ressursse ümber kirjutama HTTPS-iks ja ei piira ühtegi skripti-, raamisti- ega ühenduse päritolu. Turvalisuse mõttes võrdne CSP puudub-ga. ² reform.ee annab HSTS-i ainult CDN cache MISS-i korral. Vahemällu salvestatud vastuse puhul päised puuduvad — vt §4. ³ parempoolsed.ee: max-age=31536000, kuid includeSubDomains ja preload puuduvad.

Koondhinnang (0–100)

Hindamise kaalud: HTTPS-ümbersuunamine 10 · HSTS 12 · CSP 12 · XFO 10 · XCTO 8 · Referrer-Policy 8 · Permissions-Policy 6 · Küpsiselipud 14 · Infolekked 10 · Tarnahela hügieen 10.

Koht	Skoor	Hinnang	Peamine nõrkus
🥇 vabaerakond.ee	80	Hea	puudub CSP
🥈 ekre.ee	66	Rahuldav	eksitav CSP-stub, paljas PHPSESSID
🥉 reform.ee	64	Rahuldav	HSTS sõltub cache olekust
4. eesti200.ee	61	Rahuldav	paljas PHPSESSID, lekitav versioon
5. parempoolsed.ee	54	Piiratav	tarnahela hajusus, 9× noopener puudub
6. sotsid.ee	33	Nõrk	ühtegi päisekaitset
6. eerk.ee	33	Nõrk	ühtegi päisekaitset
8. keskerakond.ee	32	Nõrk	ühtegi päisekaitset + kasutaja loetelu
9. eekoos.ee	18	Kriitiline	töötab üle http, küpsis ka üle http

4. Detailid saiditi

🔴 eekoos.ee — kõige nõrgem (18/100)

Kõige tõsisem leid kogu komplektis. Mitte sellepärast, et üksnes „puuduvad päised“, vaid kombinatsioonina:

http://eekoos.ee/ vastab 200 OK — ümbersuunamist HTTPS-i ei ole.

Sessiooniküpsis PHPSESSID väljastatakse ka üle selge HTTP ja ilma Secure-liputa.

HSTS puudub täielikult, seega ei sunni ükski brauser kunagi HTTPS-i kasutama.

Rünnaku stsenaarium: sama WiFi-võrgustikku või vahepealse HTTP-proksi kaudu saab sessiooniküpsise kinni püüda ja kogu kasutajaseansi (sh WordPressi administraatori sessioon) üle võtta. Kuna puudub nii Secure kui ka HttpOnly, aitab ühest lekkivast logist.

Kiireim parandus: lisada virtuaalhosti .htaccess/nginx reegel return 301 https://eekoos.ee$request_uri;, seejärel HSTS ja küpsise lipud. Märkus: Server: Apache/2 (paljas) näitab, et see host ei ole Zone.ee-l — teised saidid on, seega hostingu seadistus on siin tõenäoliselt lihtsalt unustatud.

🟠 sotsid.ee, keskerakond.ee, eerk.ee — päisekaitseta (32–33/100)

Kõigil kolmel ükski kaitsepäis puudub. Kõik kolm on WordPress + Zone.ee.

	sotsid.ee	keskerakond.ee	eerk.ee
Avaleht	146 KB	526 KB	149 KB
WP kasutajate loetelu	✅ blokeeritud	❌ 3 kasutajat avatud	❌ 5 kasutajat avatud
Generaatori meta	–	Site Kit 1.188.0	Site Kit 1.188.0
Kolmanda poole päritolud	15	12	13

keskerakond.ee ja eerk.ee leavad /wp-json/wp/v2/users kaudu autorite kasutajanimed ja slugid välja. See on teave, mida kasutatakse sisselogimise aadressite (?author=1) ja kasutajanimede sõnaraamatute (credential stuffing) koostamiseks. Teised seitse saiti on selle endpointi sulnud.

keskerakond.ee on kõige suurem avaleht (526 KB) ja lisaks 5 target="_blank" linki ilma rel="noopener".

🟡 parempoolsed.ee — head päised, nõrk tarnahel (54/100)

Päisepool on parempoolsed.ee teistest WordPressi saitidest paremas (HSTS, XFO, XCTO, Referrer-Policy) ja Cloudflare annab DDoS/WAF-kaitse, mida teistel pole.

Küll aga avaneb ta kõige laiemale välispendlusele — 20+ erinevat päritolu, sealhulgas parempoolsed34351.activehosted.com (võõras hostimiskonto), projects.softcupid.com, diffuser-cdn.app-us1.com, www.buzzsprout.com, www.cookieyes.com.

Konkreetne leid: maxcdn.bootstrapcdn.com — see on ammendatud CDN-i domeen. Bootstrap 3.3.7 ei ole saanud turvapaekvalseid ega uuendusi aastakümneid; domeen on külmunud ja pole enam hostingu pakkuja alt kaitstud. Kõik selle kaudu laaditud JavaScript käitub samaväärselt teie lehe koodiga. Lisaks 9 target="_blank" linki ilma rel="noopener".

Sama paberiagrupp päris mittekooskõlaline: näiteks eesti200.ee ja ekre.ee varjavad Server-pääse, parempoolsed.ee näitab cloudflare.

🟢 vabaerakond.ee — parim (80/100)

Ainus mitte-WordPressi sait (Next.js) ja ainus, millel on Permissions-Policy.

Ainult 4 päritolu leheküljel, ükski kolmanda poole jälgimis- ega turundusskript — kõik teised laevad Google Tag Managerit, Meta pikselit või Analytics-it. See on samaaegselt turvalisuse ja GDPR-privaatsuse tugevus.

Kõik põhipäised olemas, välja arvatud CSP ja HSTS includeSubDomains/preload.

Zero mixed content, zero target="_blank ilma noopener'ita.

92 KB — kõige kergem WordPressi asemel.

Puuduv CSP on siinki kõige olulisem üks parandus.

reform.ee — cache-tingimuslik HSTS (64/100)

Kõige huvitavam tehniline leid kogu komplektis: kaks sama URL-i annavad erineva vastuse.

Cache MISS (https://reform.ee/?cb=8492…) → 200 + kõik kaitsepäised ✅ Cache HIT (https://reform.ee/) → 200 + kaitsepäised puuduvad ❌

Vahemällu on salvestatud vastus ilma Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options ja Referrer-Policy-ta. Praktikas tähendab see, et kaitsekihid sõltuvad juhuslikust vahemälu olekust — külastaja, kes tabab refreshi või tuleb teise CDN-servi, võib mitte saada ühtegi kaitset. Sellist kaitsekihti ei saa lugeda tõhusaks.

Lisaleid: lehekülje HTML-is lekib sisehosti nimi intra.reform.ee — sisemine võrgustikustruktuuri info, mis aitab sisevõrgu skaneerimisel sihtida.

5. Kõik saidid: ühised nõrkused

5.1 Content-Security-Policy puudub kõikjal (0/9)

Kõige tõsisem süsteemne puudujääk. Eri erand on ekre.ee eksitav upgrade-insecure-requests, mis kaitseb üldse mitte midagi.

CSP puudumisel ei takista ükski saidi välise skripti käivitamist. Kui jõutakse XSS-i (kas ränne või WordPressi/pluginate haavatavus), saab ründaja:

varastada PHPSESSID-i ja kasutada seda adminina;

lugeda kogu lehe DOM-i, sh vormide sisu ja e-posti aadresseid;

kutsuda välja mis tahes API ja saata andmeid oma serverisse.

Kõigil WordPressi saitidel lisandub, et admini võib sattuda CMS-i sisu redigeerimisele — see on kõrgeima mõjuga klassi haavatavus ja selle vastu kaitseb script-src + frame-ancestors.

5.2 Session-küpsise lipud (4/9 puudulikud)

Sait	Küpsis	`Secure`	`HttpOnly`	`SameSite`
ekre.ee	`PHPSESSID`	❌	❌	❌
parempoolsed.ee	`PHPSESSID`	❌	❌	❌
eesti200.ee	`PHPSESSID`	❌	❌	❌
eekoos.ee	`PHPSESSID`	❌	❌	❌
sotsid.ee	`pll_language`	✅	n/a	✅ `Lax`

Ainult sotsid.ee määrab küpsise lipud korrektselt, kuigi selle küpsise sisu piirdub keelesättega, mitte sessiooniga. Kõik neli saiti, mis hoiavad tegelikku PHP-sessiooni, määravad oma sessiooniküpsised aga täiesti kaitseta. Ainuüksi SameSite=Lax pakub juba märgatavat CSRF-kaitset.

5.3 TLS — kõikjal hea ✅

Üheski vead ei leitud. See on komplekti tugevaim külg.

Sait	TLS 1.0/1.1	TLS 1.2	TLS 1.3	Sertifikaadi väljaandja
kõik 9	❌ keelatud	✅	✅	Let's Encrypt (8) / Google Trust Services (1)

Kõik Let's Encrypti sertifikaadid kehtivad umbes 90 päeva ja neid uuendatakse automaatselt, see on hea tava, mitte risk. parempoolsed.ee kasutab Google Trust Services'i sertifikaati, mitte Cloudflare'i oma, sest TLS-ühendus lõpeb nende serveris.

5.4 Zone.ee kontsentratsioon

Server: Apache / ZoneOS → sotsid.ee, reform.ee, keskerakond.ee, vabaerakond.ee, eerk.ee, parempoolsed.ee (origin), eesti200.ee, ekre.ee.

8 saidit ühel hostingul. See on Eesti poliitilise veebikogukonna jaoks süsteemne ühise sõltuvuse risk: üks hostingu või WordPressi tuumavee kompromiteerimine tabab korraga ligi kaheksat kodulehte. eekoos.ee on ainus väljas (Apache/2, pole Zone.ee).

Samas on sellel positiivne pool — ühtne hosting tähendab ühtset, tõhusalt mainitud turvapatchimise tsüklit.

5.5 Muud väiksemad leiud

Leid	Mõjutatud	Märkus
WP kasutajate loetelu avatud	keskerakond.ee, eerk.ee	Autorite slugid ja nimed
Täpne versioon lekitatud	eesti200.ee (Elementor 4.0.8), keskerakond.ee + eerk.ee (Site Kit)	Lihtsustab CVE sihtimist
Sisehosti nimi HTML-is	reform.ee (`intra.reform.ee`)	Sisevõrgu kartograafia
`target="_blank"` ilma `noopener`	parempoolsed 9, eekoos 8, keskerakond 5, eesti200 5, eerk 4, sotsid 3	`window.opener` kaudu tab-niiskamine
Inline `onclick` / `onerror`	keskerakond.ee, eekoos.ee	Raskendab CSP rakendamist
Amendatud CDN	parempoolsed.ee (`maxcdn.bootstrapcdn.com`)	Bootstrap 3.3.7, kaua hoitamata
Mixed content	keskerakond.ee (1 `http://` link)	Ainult hüperlink, mitte ressurss — madal risk

6. Soovitatud paranduste prioriteedid

Meetod ja piirangud

Kontrollitud, kasutades ainult scratch/security-audit/ skripte:

Kontroll	Meetod
HTTP päised	`curl -D -` lehekülje avalehelt, eraldi `HEAD` ja `GET`
Ümbersuunamine	`curl` ilma `-L` HTTP ja HTTPS, jälgitud `redirect_url`
TLS versioonid	`openssl s_client -tls1 / -tls1_1 / -tls1_2 / -tls1_3`
Sertifikaat	`openssl x509 -noout -issuer -dates`
Küpsise lipud	`Set-Cookie` päise lippude parsimine
Mixed content	`grep -oE '(src\|href)="http://[^"]+"'`
Kolmanda poole päritolud	`grep -oE 'https?://[a-zA-Z0-9.-]+'`
CMS-i versioon
Kasutaja loetelu	üks `GET` avatud `wp-json/wp/v2/users` endpointile

Mida see aruanne EI hõlma — ja mida vajaks eraldi, volitatud töö:

aktiivne skaneerimine, portskannimine, kõigi eraldi haavatavuste tõestamine;

WordPressi pluginate ja teema versioonide audit (vaadati ainult avalehte);

autentimisvoogude testid, autoriseerimisvead, IDOR, sessioonihaldus;

e-posti loovutamise (DMARC/DKIM/SPF) kontroll;

SSL Labs / Mozilla Observatory / testssl'i sügavamad analüüsid;

mobiilse ja abistavate tehnoloogiate (EWCAG 2.2 AA) audit.

Tulemused on hetkeseis 2026-09-27. Konfiguratsioon muutub; eelkõige vahemälu ja eekoos.ee puhul tasub kuut kuud hiljem uuesti mõõta.

Asukoht

Hinnang

Kõik 9 saiti avanevad

✅

TLS 1.0 / 1.1 keelatud kõigil

✅

Sertifikaadid kehtivad, kõik auto-renovateeritavad

✅

HTTP → HTTPS ümbersuunamine

8/9 ✅ (eekoos.ee ❌)

Content-Security-Policy tõhus reeglistik

0/9 ❌

Sessiooniküpsis ilma Secure/HttpOnly/SameSite

4/9 ❌

Strict-Transport-Security olemas

6/9

Permissions-Policy olemas

1/9

Sait

HTTP→HTTPS

HSTS

CSP

X-Frame-Options

X-Content-Type-Opt

Referrer-Policy

Permissions-Policy

Sessiooniküpsis

Serveri avalikustamine

sotsid.ee

✅ 301

❌

⚠️ Secure+SameSite

Apache / ZoneOS

ekre.ee

✅ 301

✅ täielik

❌¹

✅ SAMEORIGIN

✅ nosniff

✅ same-origin

❌

❌ palja lipuga

varjatud

reform.ee

✅ 301

⚠️²

❌

✅ SAMEORIGIN

✅ nosniff

✅ strict-origin

❌

✅ ei määra

Apache / ZoneOS

keskerakond.ee

✅ 301

❌

✅ ei määra

Apache / ZoneOS

parempoolsed.ee

✅ 301

✅ osaline³

❌

✅ SAMEORIGIN

✅ nosniff

✅ strict-origin

❌

❌ palja lipuga

cloudflare

vabaerakond.ee

✅ 301

✅ osaline

❌

✅ SAMEORIGIN

✅ nosniff

✅ strict-origin

✅

✅ ei määra

Apache / ZoneOS

eesti200.ee

✅ 301

✅ täielik

❌

✅ SAMEORIGIN

✅ nosniff

✅ same-origin

❌

❌ palja lipuga

varjatud

eekoos.ee

❌ 200 üle http

❌

❌ ka üle http

Apache/2

eerk.ee

✅ 301

❌

✅ ei määra

Apache / ZoneOS

Koht

Skoor

Hinnang

Peamine nõrkus

🥇 vabaerakond.ee

Hea

puudub CSP

🥈 ekre.ee

Rahuldav

eksitav CSP-stub, paljas PHPSESSID

🥉 reform.ee

Rahuldav

HSTS sõltub cache olekust

4. eesti200.ee

Rahuldav

paljas PHPSESSID, lekitav versioon

5. parempoolsed.ee

Piiratav

tarnahela hajusus, 9× noopener puudub

6. sotsid.ee

Nõrk

ühtegi päisekaitset

6. eerk.ee

Nõrk

ühtegi päisekaitset

8. keskerakond.ee

Nõrk

ühtegi päisekaitset + kasutaja loetelu

9. eekoos.ee

Kriitiline

töötab üle http, küpsis ka üle http

sotsid.ee

keskerakond.ee

eerk.ee

Avaleht

146 KB

526 KB

149 KB

WP kasutajate loetelu

✅ blokeeritud

❌ 3 kasutajat avatud

❌ 5 kasutajat avatud

Generaatori meta

–

Site Kit 1.188.0

Kolmanda poole päritolud

Sait

Küpsis

Secure

HttpOnly

SameSite

ekre.ee

PHPSESSID

❌

parempoolsed.ee

PHPSESSID

❌

eesti200.ee

PHPSESSID

❌

eekoos.ee

PHPSESSID

❌

sotsid.ee

pll_language

✅

n/a

✅ Lax

Sait

TLS 1.0/1.1

TLS 1.2

TLS 1.3

Sertifikaadi väljaandja

kõik 9

❌ keelatud

✅

Let's Encrypt (8) / Google Trust Services (1)

Leid

Mõjutatud

Märkus

WP kasutajate loetelu avatud

keskerakond.ee, eerk.ee

Autorite slugid ja nimed

Täpne versioon lekitatud

eesti200.ee (Elementor 4.0.8), keskerakond.ee + eerk.ee (Site Kit)

Lihtsustab CVE sihtimist

Sisehosti nimi HTML-is

reform.ee (intra.reform.ee)

Sisevõrgu kartograafia

target="_blank" ilma noopener

parempoolsed 9, eekoos 8, keskerakond 5, eesti200 5, eerk 4, sotsid 3

window.opener kaudu tab-niiskamine

Inline onclick / onerror

keskerakond.ee, eekoos.ee

Raskendab CSP rakendamist

Amendatud CDN

parempoolsed.ee (maxcdn.bootstrapcdn.com)

Bootstrap 3.3.7, kaua hoitamata

Mixed content

keskerakond.ee (1 http:// link)

Ainult hüperlink, mitte ressurss — madal risk

Kontroll

Meetod

HTTP päised

curl -D - lehekülje avalehelt, eraldi HEAD ja GET

Ümbersuunamine

curl ilma -L HTTP ja HTTPS, jälgitud redirect_url

TLS versioonid

openssl s_client -tls1 / -tls1_1 / -tls1_2 / -tls1_3

Sertifikaat

openssl x509 -noout -issuer -dates

Küpsise lipud

Set-Cookie päise lippude parsimine

Mixed content

grep -oE '(src|href)="http://[^"]+"'

Kolmanda poole päritolud

grep -oE 'https?://[a-zA-Z0-9.-]+'

CMS-i versioon

Kasutaja loetelu

üks GET avatud wp-json/wp/v2/users endpointile