ARK. 1Parametry
Co dokładnie sprawdzamy.
TAB. 1Dostępność10 parametrów · mierzonych 10
Czy strona żyje, odpowiada i pokazuje właściwą treść.
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Połączenie TCPD01 · Dostępnośćważność krytycznamierzony | Czy port 80/443 serwera odpowiada na połączenie. Podstawowy sygnał, że serwer żyje — pada zanim HTTP zdąży odpowiedzieć. | D01.01 Połączenie TCP strona nie odpowiadaNaprawa: Sprawdź hosting: serwer, firewall, limit połączeń. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób tcp · helper tcp_check | |
| Rozwiązywanie DNSD02 · Dostępnośćważność krytycznamierzony | Czy domena rozwiązuje się do adresu IP. Wykrywa wygaśnięcie domeny, błędną konfigurację DNS, przejęcie domeny. | D02.01 Rozwiązywanie DNS strona nie odpowiadaNaprawa: Sprawdź rekordy DNS i termin ważności domeny. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób dns · helper dns_check | |
| Kod odpowiedzi HTTPD03 · Dostępnośćważność krytycznamierzony | Kod odpowiedzi serwera (200 OK, 5xx błąd, nieoczekiwany 3xx). Pierwsze źródło prawdy o dostępności aplikacji. | D03.01 Odpowiedź HTTP strona nie odpowiadaD03.02 Błąd aplikacji widoczny z zewnątrz usterka niekrytycznaNaprawa: Sprawdź logi serwera i PHP, ostatnie aktualizacje wtyczek. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób http · helper http_check | |
| Weryfikacja treściD04 · Dostępnośćważność wysokamierzony | Obecność kluczowego tekstu na stronie. Wykrywa białe strony, podmienioną treść i błąd PHP bez kodu 500. | D04.01 Weryfikacja treści usterka niekrytycznaNaprawa: Sprawdź, czy strona nie wyświetla pustej treści lub błędu PHP. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób content · helper content_check | |
| Przekierowanie HTTP → HTTPSD05 · Dostępnośćważność wysokamierzony | Czy http://domena.pl poprawnie przekierowuje na https://. Brak oznacza, że część użytkowników trafia na wersję nieszyfrowaną. | D05.01 Przekierowanie HTTP → HTTPS usterka niekrytycznaNaprawa: Popraw reguły przekierowań w .htaccess lub w panelu hostingu. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób redirect · helper redirect_check | |
| Przekierowanie www ↔ bez wwwD06 · Dostępnośćważność średniamierzony | Czy jedna forma przekierowuje na drugą. Brak to dwie różne wersje strony i problem z SEO oraz cookies. | D06.01 Przekierowanie www ↔ bez www usterka niekrytycznaD06.02 Częściowa dostępność usterka niekrytycznaNaprawa: Ustaw kanoniczną formę domeny i przekierowanie 301. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób www_redirect · helper www_redirect | |
| Długość łańcucha przekierowańD07 · Dostępnośćważność średniamierzony | Liczba przeskoków zanim żądanie trafi na właściwy adres. Więcej niż 2 to spowolnienie i ryzyko pętli.Ten sam test co przekierowanie HTTP → HTTPS. Długi łańcuch to znacznik ostrzeżenia w wyniku, bez osobnego ustalenia i bez zmiany statusu. | bez osobnego Findingu | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób redirect · helper redirect_check | |
| Próg TTFBD08 · Dostępnośćważność średniamierzony | Czas do pierwszego bajtu powyżej 3 s przez kilka kolejnych skanów. Sygnał przeciążenia serwera, wycieku pamięci lub ataku. | D08.01 Czas odpowiedzi (TTFB) usterka niekrytycznaNaprawa: Sprawdź obciążenie serwera, cache i ciężkie wtyczki. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób ttfb · helper ttfb_check | |
| Monitoring zablokowany albo ślepyD09 · Dostępnośćważność wysokamierzony | Hosting albo wtyczka bezpieczeństwa blokuje adres monitoringu, albo panel WordPressa jest niewidoczny, choć strona odpowiada. Wtedy pozostałe parametry nie mówią prawdy o stronie.Wdrożony 01.10 bez Findingu (właściciel 28.09: blokada to nie stan strony): sondy dostępności z serwera monitoringu nie zmierzyły strony, a z drugiej lokalizacji (UptimeRobot) strona odpowiada. Typy D09.01–D09.03 powstają dalej tylko z audytu AI. | D09.01 Blokada IP monitoringu bez wpływuD09.02 Wtyczka bezpieczeństwa zablokowała adres monitoringu D09.03 Panel/backend poza monitoringiem (frontend zdrowy, WordPress niewidoczny) Naprawa: Poproś hosting o whitelistę IP monitoringu. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób monitoring_block · helper druga_opinia | |
| Formularz i odnośniki kontaktoweD10 · Dostępnośćważność średniamierzony | Formularz kontaktowy nie wysyła wiadomości albo odnośnik telefonu, e-maila lub mapy jest zepsuty. Strona działa, a zapytania klientów przepadają.Wdrożony 01.10 (badanie profilem): odnośniki tel: i mailto: na stronie głównej i stronie kontaktu. Formularza nie wysyłamy (to wiadomość do klienta) — „formularz nie wysyła” (D10.01) zostaje bez Checku. | D10.01 Formularz kontaktowy nie wysyła wiadomości D10.02 Zepsuty odnośnik kontaktowy usterka niekrytycznaNaprawa: Popraw numer albo adres w treści strony (stopka, kontakt). | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób contact_links · helper site_pages_check |
TAB. 2Bezpieczeństwo48 parametrów · mierzonych 48
Certyfikaty, infekcje, wystawione pliki, podatności, nagłówki.
Certyfikat i domena · 5 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| SSL: ważność certyfikatuB01 · Bezpieczeństwoważność krytycznamierzony | Czy certyfikat TLS jest ważny, nie wygasł, pasuje do domeny i łańcuch jest kompletny. Nieważny certyfikat to pełnoekranowe ostrzeżenie w przeglądarce.Sprawdzany przy dostępności: nieważny certyfikat na obu formach adresu zatrzymuje odwiedzających, na jednej — daje częściową dostępność. Harmonogram nie wypisuje jeszcze tego sposobu w przebiegu. | B01.01 Certyfikat SSL strona nie odpowiadaB01.02 Certyfikat wystawiony na inną domenę Naprawa: Odnów certyfikat, sprawdź automat Let's Encrypt. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób partial_availability · helper partial_availability_check | |
| SSL: dni do wygaśnięciaB02 · Bezpieczeństwoważność krytycznamierzony | Ile dni zostało do wygaśnięcia certyfikatu. Alert, gdy automat Let's Encrypt się nie odnowił.Od 2026-09-16 (CREATO_PING cf89ebe) w codziennym skanie dostępności jako odczyt ssl_expiry; osobny workflow ssl_daily zniknął. Już wygasły certyfikat łapie parametr „SSL: ważność certyfikatu”. | B02.01 Wygasanie certyfikatu SSL usterka niekrytycznaNaprawa: Sprawdź odnowienie Let's Encrypt / certyfikatu u hostingu. | creato_ping_avail_v2Skaner 2.0, rytm „dostepnosc”: premium co 15 min, reszta co 3–12 hsposób ssl · helper ssl_check | |
| Wygaśnięcie domenyB03 · Bezpieczeństwoważność krytycznamierzony | Dni do wygaśnięcia rejestracji domeny (RDAP, dla .eu WHOIS). Klienci regularnie zapominają o odnowieniu.Od 2026-09-16 (CREATO_PING cf89ebe) codzienny timer systemd na serwerze LAB247, poza n8n. Wynik trafia tylko do ClickUp — do bazy LAB247 nie, więc statystyk tu nie ma. | B03.01 Wygaśnięcie domeny usterka niekrytycznaB03.02 Domena wygasa w ciągu 30 dni B03.03 Domena wyrejestrowana albo przejęta po wygaśnięciu Naprawa: Opłać odnowienie domeny u rejestratora. | creato-ping-domeny.timertimer systemd codziennie 03:30 UTCsposób domain_expiry · helper domain_expiry | |
| Zmiana adresu IPB15 · Bezpieczeństwoważność wysokamierzony | Porównanie aktualnego IP z poprzednim skanem DNS. Nieoczekiwana zmiana to przejęcie domeny lub migracja bez wiedzy agencji.Pierwszy skan domeny tylko zapisuje wzorzec; ustalenie otwiera dopiero kolejny skan z innym adresem. | B15.01 Zmiana adresu IP do weryfikacjiNaprawa: Potwierdź migrację i zaktualizuj oczekiwany IP. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób ip_change · helper ip_change | |
| Zmiana rekordów NS i MXB45 · Bezpieczeństwoważność wysokamierzony | Serwery nazw albo serwery poczty domeny zmieniły się względem poprzedniego skanu. Sygnał przejęcia domeny albo przeniesienia poczty bez wiedzy agencji.Pierwszy skan domeny tylko zapisuje wzorzec; ustalenie otwiera dopiero kolejny skan z innymi rekordami. | B45.01 Zmiana serwerów NS do weryfikacjiB45.02 Zmiana rekordów MX do weryfikacjiNaprawa: Potwierdź zmianę z właścicielem domeny; jeśli nikt jej nie zlecał, zabezpiecz konto u rejestratora. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób dns_integrity · helper dns_integrity_check |
Poczta · 4 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Rekord SPFB24 · Bezpieczeństwoważność wysokamierzony | Czy domena deklaruje w DNS, które serwery mogą wysyłać jej pocztę (TXT v=spf1). Brak oznacza, że każdy może podszyć się pod adres klienta.Sprawdzane tylko wtedy, gdy domena ma rekord MX — domena bez poczty nie potrzebuje SPF. | B24.01 Brak rekordu SPF bez wpływuNaprawa: Dodaj rekord TXT v=spf1 z serwerami poczty klienta i kończące -all. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób dns_integrity · helper dns_integrity_check | |
| Rekord DMARCB25 · Bezpieczeństwoważność wysokamierzony | Czy _dmarc.domena niesie politykę reakcji na podszycie. Brak oznacza, że odbiorca nie wie, co zrobić z fałszywką.Wpis p=none to sama obserwacja, bez ochrony — parametr mierzy obecność rekordu, nie siłę polityki. | B25.01 Brak rekordu DMARC bez wpływuNaprawa: Dodaj rekord _dmarc, zaczynając od p=none z adresem raportów. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób dns_integrity · helper dns_integrity_check | |
| Zdjęcie SPF/DMARCB26 · Bezpieczeństwoważność wysokamierzony | Rekord był w poprzednim skanie, a teraz go nie ma. Sygnał grzebania w DNS albo migracji poczty bez wiedzy agencji.Pierwszy skan domeny tylko zapisuje wzorzec; ustalenie otwiera dopiero kolejny skan bez rekordu. | B26.01 Zniknął SPF lub DMARC do weryfikacjiNaprawa: Potwierdź zmianę u klienta i przywróć rekord. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób dns_integrity · helper dns_integrity_check | |
| Rekord DKIMB31 · Bezpieczeństwoważność średniamierzony | Podpis kryptograficzny poczty. Potwierdza, że wiadomość naprawdę wyszła z serwera klienta i nie zmieniono jej po drodze.Wdrożony 01.10 (badanie profilem). Z zewnątrz da się wykryć tylko OBECNOŚĆ przy trafionym selektorze (38 typowych) — brak trafienia nie dowodzi braku DKIM, więc parametr nie otwiera ustalenia; domena bez MX = nie dotyczy. | bez osobnego Findingu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób dkim · helper higiena_check |
Reputacja i infekcja · 6 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Google Safe BrowsingB04 · Bezpieczeństwoważność krytycznamierzony | Czy strona jest flagowana przez Google jako phishing lub malware. Użytkownicy widzą czerwony ekran ostrzeżenia. | B04.01 Google Safe Browsing przejęcie stronyB04.02 Flaga Safe Browsing przejęcie stronyNaprawa: Natychmiastowe czyszczenie strony i wniosek o ponowną weryfikację w Search Console. | creato_ping_security_v2 · P4Skaner 2.0, rytm „p4”: co 24 h (tier 1–3), co 48 h (tier 4)creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób safe_browsing · helper safebrowsing | |
| Wstrzyknięty skryptB06 · Bezpieczeństwoważność krytycznamierzony | Złośliwy JavaScript wstrzyknięty w HTML strony: zaciemniony kod (base64 i eval), loader z własnej domeny, bramka SocGholish, kod pobierany z blockchaina (EtherHiding). Skutek włamania widoczny z zewnątrz.Do 2026-10-01 „Malware / infekcja” z 10 typami; cloaking i spam przeszły do B35, obce elementy do B36, skan nierozstrzygnięty do B48. | B06.01 Zaciemniony kod JS przejęcie stronyB06.02 Loader z własnej domeny (DollyWay) przejęcie stronyB06.03 Bramka SocGholish przejęcie stronyB06.04 Payload z blockchaina (EtherHiding) przejęcie stronyNaprawa: Przywróć czystą kopię plików, zmień hasła, zaktualizuj wszystko. | creato_ping_security_v2 · P4Skaner 2.0, rytm „p4”: co 24 h (tier 1–3), co 48 h (tier 4)creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób infection · helper infection_check | |
| Skrypty z domen wygasłychB34 · Bezpieczeństwoważność wysokamierzony | Zewnętrzny script src z domeny, która wygasła. Kto ją odkupi, wstrzykuje dowolny kod na stronę klienta.Wdrożony 01.10 (badanie profilem): domena rejestrowalna każdego zewnętrznego skryptu strony głównej sprawdzana w DNS; NXDOMAIN = do wzięcia. | B34.01 Skrypt ze strony pochodzi z wolnej domeny — do przejęcia otwarta podatność | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób skrypty_domeny · helper higiena_check | |
| Cloaking i spam SEOB35 · Bezpieczeństwoważność krytycznamierzony | Strona pokazuje Googlebotowi inną treść niż ludziom albo ma w treści słowa spamu (leki, kasyna). Typowy skutek włamania nastawionego na pozycjonowanie cudzych stron.Pusta blokada dla Googlebota to zabezpieczenie antybotowe, nie cloaking — dostaje osobne ustalenie bez wpływu na status. | B35.01 Cloaking przejęcie stronyB35.02 Słowa spamowe w treści do weryfikacjiB35.03 Blokada botów (nie incydent) bez wpływuNaprawa: Usuń złośliwy kod z motywu i wtyczek, sprawdź .htaccess. | creato_ping_security_v2 · P4Skaner 2.0, rytm „p4”: co 24 h (tier 1–3), co 48 h (tier 4)creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób infection · helper infection_check | |
| Obce skrypty i ukryte ramkiB36 · Bezpieczeństwoważność średniamierzony | Skrypt z obcej domeny albo niewidoczny iframe w HTML strony. Sam nie dowodzi infekcji — bywa legalną integracją — więc wymaga przejrzenia. | B36.01 Obcy skrypt do weryfikacjiB36.02 Ukryty iframe do weryfikacjiNaprawa: Potwierdź, że skrypt jest znany. Jeśli nie, usuń go. | creato_ping_security_v2 · P4Skaner 2.0, rytm „p4”: co 24 h (tier 1–3), co 48 h (tier 4)creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób infection · helper infection_check | |
| Skan infekcji nierozstrzygniętyB48 · Bezpieczeństwoważność średniamierzony | Strony nie dało się sprawdzić pod kątem infekcji (błąd, blokada, pusta odpowiedź), więc parametry B06, B35 i B36 nie mają wyniku. | B48.01 Nie dało się sprawdzić infekcji bez wpływuNaprawa: Nic po stronie strony; liczone osobno w statystykach. | creato_ping_security_v2 · P4Skaner 2.0, rytm „p4”: co 24 h (tier 1–3), co 48 h (tier 4)creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób infection · helper infection_check |
Podatności i wersje · 7 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Luki wtyczek i motywówB07 · Bezpieczeństwoważność krytycznamierzony | Wykryte wtyczki i motywy porównane z bazą znanych CVE (feed Wordfence). Konkretna podatność z numerem CVE i wersją.Do 2026-10-01 „Dopasowanie podatności”; luki rdzenia przeszły do B42, nieaktualne wersje do B43. | B07.01 CVE we wtyczce lub motywie otwarta podatnośćB07.02 Wtyczka lub motyw z luką krytyczną (CVSS ≥ 9 albo o poziom niżej + KEV/EPSS ≥ 0,1) B07.03 Wtyczki poza zasięgiem dopasowania luk Naprawa: Zaktualizuj do wersji z poprawką. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób vuln_match · helper vuln_match | |
| Wersja WordPressaB08 · Bezpieczeństwoważność wysokamierzony | Wykrycie wersji rdzenia z nagłówków, tagu meta generator i sum kontrolnych plików. Stara wersja to znane podatności.Na stronach z wtyczką monitorującą wersję przysyła też wtyczka, od środka. | B08.01 Nieaktualny rdzeń do weryfikacjiB08.02 Wersja WordPress bez wpływuB08.03 Nie ustalono wersji WordPressa — luki nie mają do czego się dopasować Naprawa: Zaktualizuj przy najbliższym oknie serwisowym. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)creato_ping_plugin_report_v1webhook od wtyczki monitorującejsposób wp_fingerprint · helper wp_fingerprint | |
| Wersja PHP i koniec wsparciaB32 · Bezpieczeństwoważność wysokamierzony | PHP po końcu wsparcia nie dostaje poprawek bezpieczeństwa. Strona stoi wtedy na warstwie, której nikt już nie łata.Wdrożony 01.10 (badanie profilem). Z zewnątrz widać tylko nagłówek X-Powered-By, który większość hostingów usuwa (wersję ujawnia 14 z 265 stron, 01.10). Wtedy wersję bierze z migawki wtyczki; bez nagłówka i bez wtyczki — „nie dało się sprawdzić”. | B32.01 PHP bez wsparcia bezpieczeństwa (widoczne z zewnątrz) usterka niekrytyczna | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób php_wersja · helper higiena_check | |
| Luki rdzenia WordPressaB42 · Bezpieczeństwoważność krytycznamierzony | Wykryta wersja rdzenia WordPressa porównana z bazą znanych CVE (feed Wordfence). Luka rdzenia dotyczy każdej strony na tej wersji. | B42.01 CVE w rdzeniu WordPress otwarta podatnośćB42.02 Rdzeń WordPressa z luką krytyczną (CVSS ≥ 9) Naprawa: Zaktualizuj WordPress. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób vuln_match · helper vuln_match | |
| Nieaktualne wtyczki i motywyB43 · Bezpieczeństwoważność wysokamierzony | Wtyczka albo motyw w wersji starszej niż ta, która łata znane luki — także wtedy, gdy dziś żadna aktywna luka nie pasuje. | B43.01 Nieaktualna wtyczka do weryfikacjiB43.02 Nieaktualny motyw do weryfikacjiNaprawa: Zaktualizuj przy najbliższym oknie serwisowym. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób vuln_match · helper vuln_match | |
| Koniec wsparcia CMSB44 · Bezpieczeństwoważność wysokamierzony | System zarządzania treścią w wersji, która nie dostaje już poprawek bezpieczeństwa.Wdrożony 01.10 (badanie profilem): Joomla, Drupal, TYPO3, Magento 1 z generatora strony; WordPress ocenia B42/B43. | B44.01 System bez wsparcia bezpieczeństwa usterka niekrytycznaNaprawa: Zaplanuj migrację na wspieraną wersję albo inny system. | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób cms_eol · helper site_pages_check | |
| Wtyczka administracyjna niezweryfikowanaB47 · Bezpieczeństwoważność średniamierzony | Wtyczka z uprawnieniami administracyjnymi nieznanego pochodzenia — spoza katalogu wordpress.org i listy znanych dostawców.Test Agentów AI (02.10): audyt strony z dostępem sprawdza aktywne wtyczki spoza wordpress.org i listy premium, które dodają strony panelu z uprawnieniem administratora. | B47.01 Wtyczka administracyjna nieznanego pochodzenia do weryfikacji | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób unverified_admin_plugin · helper agenci_ai |
Ekspozycja plików · 14 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Ekspozycja .envB05 · Bezpieczeństwoważność krytycznamierzony | Czy plik .env jest dostępny publicznie. Zawiera klucze API i hasła do bazy — krytyczny wyciek. | B05.01 Publiczny plik .env otwarta podatnośćB05.02 Nie dało się sprawdzić ekspozycji bez wpływuNaprawa: Zablokuj dostęp i zmień wszystkie ujawnione sekrety. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Kopie wp-config.phpB09 · Bezpieczeństwoważność krytycznamierzony | Dostępność wp-config.php.bak i wp-config.php~ — kopii pliku z hasłem do bazy i kluczami WordPressa. Częsty błąd przy edycji na serwerze i migracji hostingu.Do 2026-10-01 „Ekspozycja plików wrażliwych”; debug.log przeszedł do B37, listowanie katalogów do B38. | B09.01 Kopia wp-config.php.bak otwarta podatnośćB09.02 Kopia wp-config.php~ otwarta podatnośćNaprawa: Usuń plik z serwera, zmień hasło do bazy. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja .htaccess.bakB22 · Bezpieczeństwoważność średniamierzony | Kopia .htaccess wystawiona publicznie. Ujawnia reguły WAF, ścieżki wewnętrzne i lokalizację .htpasswd — mapę zabezpieczeń serwera.Do 2026-09-16 katalog obiecywał tę ścieżkę przy plikach wrażliwych, ale żadna sonda jej nie próbowała. | B22.01 Kopia .htaccess.bak otwarta podatnośćNaprawa: Usuń plik z serwera. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja .git/HEADB12 · Bezpieczeństwoważność wysokamierzony | Czy repozytorium Git jest publicznie dostępne. Ujawnia kod, klucze i historię commitów. | B12.01 Publiczne repozytorium .git otwarta podatnośćNaprawa: Zablokuj dostęp do katalogu .git na serwerze. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Dostępność readme.htmlB16 · Bezpieczeństwoważność średniamierzony | Czy /readme.html ujawnia wersję WP. Łatwy cel rekonesansu. | B16.01 Dostępny readme.html bez wpływuNaprawa: Usuń readme.html po każdej aktualizacji. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja kopii zapasowychB27 · Bezpieczeństwoważność krytycznamierzony | Pliki backup.zip i backup.tar.gz w katalogu głównym. Cała strona i baza do pobrania jednym kliknięciem — typowa pamiątka po migracji w pośpiechu.Rozstrzyga sygnatura pliku (ZIP, gzip, 7z, RAR, xz), nie sam kod 200 — strona błędu nie jest archiwum. | B27.01 Publiczna kopia zapasowa otwarta podatnośćNaprawa: Usuń archiwum z serwera, zmień hasła do bazy i konta administratorów. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja zrzutu bazyB28 · Bezpieczeństwoważność krytycznamierzony | Pliki backup.sql, dump.sql i database.sql. Hasła użytkowników, dane osobowe, klucze — najgorszy możliwy wyciek.Rozstrzygają słowa kluczowe SQL przy braku HTML na początku pliku. | B28.01 Publiczny zrzut bazy otwarta podatnośćNaprawa: Usuń zrzut, zmień hasło do bazy i wszystkie ujawnione sekrety; rozważ zgłoszenie naruszenia. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja manifestów devB29 · Bezpieczeństwoważność niskamierzony | Pliki composer.json i package.json dostępne publicznie. Nie są wyciekiem danych, ale wydają atakującemu listę bibliotek i wersji. | B29.01 Publiczny manifest zależności bez wpływuNaprawa: Zablokuj dostęp do plików manifestów na serwerze. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja .DS_StoreB30 · Bezpieczeństwoważność niskamierzony | Indeks katalogu zostawiony przez macOS. Ujawnia nazwy plików, których nie widać w listingu. | B30.01 Publiczny .DS_Store bez wpływuNaprawa: Usuń plik i dodaj .DS_Store do reguł wykluczeń przy wysyłce. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja debug.logB37 · Bezpieczeństwoważność wysokamierzony | Czy /wp-content/debug.log jest dostępny publicznie. Dziennik błędów zdradza ścieżki serwera, zapytania do bazy, czasem dane użytkowników. | B37.01 Publiczny debug.log otwarta podatnośćNaprawa: Wyłącz WP_DEBUG_LOG na produkcji i usuń plik. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Listowanie katalogówB38 · Bezpieczeństwoważność wysokamierzony | Czy serwer wyświetla spis plików katalogu (np. /wp-content/uploads/). Atakujący widzi wszystko, co leży na serwerze, bez zgadywania nazw. | B38.01 Listing katalogów otwarta podatnośćNaprawa: Wyłącz Indexes w .htaccess lub konfiguracji serwera. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Ekspozycja phpinfoB39 · Bezpieczeństwoważność krytycznamierzony | Czy /phpinfo.php albo /info.php pokazuje pełną konfigurację PHP i serwera: wersje, ścieżki, zmienne środowiskowe. | B39.01 Publiczny phpinfo otwarta podatnośćNaprawa: Usuń plik z serwera. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Konsola bazy danychB40 · Bezpieczeństwoważność krytycznamierzony | Czy /adminer.php jest dostępny z internetu. Publiczna konsola bazy to jedno hasło od pełnego dostępu do danych strony.Sonda sprawdza dziś tylko adminer.php, nie phpMyAdmin. | B40.01 Publiczna konsola bazy danych otwarta podatnośćNaprawa: Usuń konsolę albo zamknij ją za logowaniem serwera i listą adresów IP. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Wyciek ścieżek serweraB41 · Bezpieczeństwoważność średniamierzony | Komunikaty błędów PHP w treści strony z pełnymi ścieżkami katalogów serwera. Ułatwiają celowanie ataku.Wdrożony 01.10 (badanie profilem): strona główna i dwa pliki WordPressa, które wywołane wprost padają z błędem PHP. | B41.01 Wyciek ścieżek serwera usterka niekrytycznaNaprawa: Wyłącz wyświetlanie błędów na produkcji (display_errors off, WP_DEBUG_DISPLAY false). | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób path_leak · helper site_pages_check |
Ekspozycja API WordPressa · 4 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Dostępność xmlrpc.phpB10 · Bezpieczeństwoważność wysokamierzony | Czy xmlrpc.php przyjmuje wywołania (zapytanie POST o listę metod) zamiast być zablokowany. Wektor ataków brute-force i amplifikacji DDoS. | B10.01 Otwarty xmlrpc.php otwarta podatnośćNaprawa: Zablokuj xmlrpc.php, jeśli nie używasz aplikacji mobilnej lub Jetpacka. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| REST API: enumeracja użytkownikówB11 · Bezpieczeństwoważność wysokamierzony | Czy /wp-json/wp/v2/users albo ?rest_route= ujawnia listę loginów. Atakujący zna połowę danych do brute-force konta admina. | B11.01 Enumeracja użytkowników otwarta podatnośćB11.02 Login administratora z /?author=1 otwarta podatnośćNaprawa: Zablokuj /wp-json/wp/v2/users i ?author=N. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Dostępność wp-cron.phpB17 · Bezpieczeństwoważność średniamierzony | Czy wp-cron.php jest dostępny z zewnątrz. Może być nadużyty do przeciążenia serwera. | B17.01 Dostępny wp-cron.php bez wpływuNaprawa: Ustaw DISABLE_WP_CRON i cron systemowy. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check | |
| Otwarta rejestracja kontB46 · Bezpieczeństwoważność średniamierzony | Czy formularz rejestracji WordPressa (wp-login.php?action=register) przyjmuje nowe konta. Przy złej domyślnej roli to prosta droga do konta w panelu. | B46.01 Otwarta rejestracja kont usterka niekrytycznaNaprawa: Wyłącz rejestrację w ustawieniach, jeśli strona jej nie potrzebuje. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób exposure · helper exposure_check |
Nagłówki i TLS · 8 parametrów
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Mixed contentB13 · Bezpieczeństwoważność wysokamierzony | Strona HTTPS ładuje zasoby po HTTP. Przeglądarka blokuje zasoby i pokazuje ostrzeżenie. | B13.01 Mixed content usterka niekrytycznaNaprawa: Popraw adresy zasobów na https. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób mixed_content · helper mixed_content | |
| Nagłówek HSTSB14 · Bezpieczeństwoważność wysokamierzony | Strict-Transport-Security wymusza HTTPS przy kolejnych wizytach. Brak to możliwy downgrade do HTTP. | B14.01 Brak HSTS bez wpływuNaprawa: Dodaj nagłówek HSTS w konfiguracji serwera. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| X-Frame-OptionsB18 · Bezpieczeństwoważność średniamierzony | Nagłówek chroniący przed clickjackingiem. Brak to ryzyko phishingu przez nakładkę. | B18.01 Brak X-Frame-Options bez wpływuNaprawa: Dodaj X-Frame-Options: SAMEORIGIN. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| X-Content-Type-OptionsB19 · Bezpieczeństwoważność średniamierzony | Nagłówek nosniff zapobiega zgadywaniu typu pliku przez przeglądarkę (wektor XSS). | B19.01 Brak X-Content-Type-Options bez wpływuNaprawa: Dodaj X-Content-Type-Options: nosniff. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| Content-Security-PolicyB20 · Bezpieczeństwoważność średniamierzony | Nagłówek CSP ogranicza źródła zasobów. Brak to brak warstwy ochrony przed XSS. | B20.01 Brak Content-Security-Policy bez wpływuNaprawa: Wdróż CSP, zaczynając od trybu report-only. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| Referrer-PolicyB21 · Bezpieczeństwoważność niskamierzony | Kontroluje, co trafia do nagłówka Referer. Brak to wyciek adresów wewnętrznych. | B21.01 Brak Referrer-Policy bez wpływuNaprawa: Dodaj Referrer-Policy: strict-origin-when-cross-origin. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| Permissions-PolicyB23 · Bezpieczeństwoważność niskamierzony | Nagłówek ograniczający dostęp skryptów do kamery, mikrofonu i geolokalizacji. Brak oznacza, że każdy skrypt na stronie może o nie poprosić.Stary nagłówek Feature-Policy liczy się jako spełnienie. | B23.01 Brak Permissions-Policy bez wpływuNaprawa: Dodaj Permissions-Policy z pustą listą dla nieużywanych uprawnień. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób security_headers · helper security_headers | |
| Wersja TLS i siła szyfrówB33 · Bezpieczeństwoważność średniamierzony | Czy serwer wciąż przyjmuje TLS 1.0 albo 1.1. Wymagane przy audytach i przy płatnościach kartą.Wdrożony 01.10 (badanie profilem): uścisk TLS z wymuszoną wersją 1.0 i 1.1 (RFC 8996: wycofane). | B33.01 Serwer przyjmuje przestarzałe szyfrowanie (TLS 1.0/1.1) usterka niekrytyczna | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób tls_wersje · helper higiena_check |
TAB. 3SEO8 parametrów · mierzonych 8
Czy Google widzi stronę tak, jak powinien.
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| IndeksowalnośćS01 · SEOważność wysokamierzony | Czy strona nie ma noindex w meta robots lub nagłówku X-Robots-Tag. Błędny noindex na produkcji to znikanie z Google. | S01.01 noindex na produkcji usterka niekrytycznaNaprawa: Usuń noindex w ustawieniach WordPress lub wtyczce SEO. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób indexability · helper indexability_check | |
| Sitemap.xmlS02 · SEOważność średniamierzony | Obecność i dostępność /sitemap.xml lub /sitemap_index.xml. Brak to wolniejsze indeksowanie nowych podstron. | S02.01 Podejrzana liczba URL w sitemap do weryfikacjiS02.02 Mapa strony zadeklarowana w robots.txt nie istnieje Naprawa: Przejrzyj sitemap pod kątem obcych adresów. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób sitemap · helper sitemap_check | |
| Spójność HTTP → HTTPSS03 · SEOważność wysokamierzony | Wszystkie linki wewnętrzne i canonical wskazują HTTPS. Mieszane linki to sprzeczne sygnały dla Google. | S03.01 Mieszane http/https w linkach bez wpływuNaprawa: Popraw adresy w bazie (search-replace). | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób seo · helper seo_check | |
| Canonical URLS04 · SEOważność średniamierzony | Czy strona główna ma poprawny tag canonical. Brak lub zły canonical to duplikacja treści w indeksie. | S04.01 Brak canonical bez wpływuNaprawa: Włącz canonical we wtyczce SEO. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób seo · helper seo_check | |
| robots.txtS05 · SEOważność wysokamierzony | Czy /robots.txt jest dostępny i nie blokuje całego serwisu. Zablokowanie całości to częsty błąd po migracji. | S05.01 robots.txt blokuje całość usterka niekrytycznaS05.02 Brak robots.txt bez wpływuNaprawa: Popraw robots.txt. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób robots · helper robots_check | |
| Tytuł stronyS06 · SEOważność średniamierzony | Czy strona ma niepusty tag title. Brak oznacza, że Google generuje własny, często niepoprawny. | S06.01 Brak tytułu strony bez wpływuNaprawa: Ustaw tytuł w ustawieniach SEO. | creato_ping_security_v2 · P3Skaner 2.0, rytm „p3” / „bezpieczenstwo”: premium co 6 h, reszta co 24 h (tier 1–3), co 9 dni (tier 4)sposób seo · helper seo_check | |
| Liczba zaindeksowanych podstronS07 · SEOważność średniamierzony | Nagły spadek liczby podstron w indeksie to kara od Google, noindex po migracji albo infekcja SEO niewidoczna jeszcze na stronie głównej.Wdrożony 02.10 dla stron z dostępem w Search Console (dziś cleanhub.pl, door-drzwi.pl, growtime.eu): pomiar URL Inspection co 7 dni; pozostałe strony — nie dotyczy. | S07.01 Spadek liczby zaindeksowanych podstron w Google do weryfikacji | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób indexed_pages · helper indexed_pages | |
| Monitoring kluczowych podstronS08 · SEOważność wysokamierzony | Sprawdzanie treści nie tylko strony głównej, ale też regulaminu, kontaktu i koszyka — tam podmiana przechodzi dziś niezauważona.Wdrożony 01.10 (badanie profilem): kontakt, regulamin, polityka prywatności i koszyk z linków strony głównej — czy odpowiadają i czy nie mają wstrzyknięcia, którego nie ma na stronie głównej. | S08.01 Kluczowa podstrona nie działa usterka niekrytycznaS08.02 Ślad wstrzyknięcia na kluczowej podstronie do weryfikacjiNaprawa: Przywróć podstronę albo popraw link w menu. | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób key_pages · helper site_pages_check |
TAB. 4E-commerce10 parametrów · mierzonych 10
Czy sklep WooCommerce sprzedaje: koszyk, kasa, płatności, zamówienia.
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Koszyk odpowiadaE01 · E-commerceważność krytycznamierzony | Publiczne API koszyka WooCommerce zwraca 200 i przyjmuje produkt. Błąd 500 po aktualizacji oznacza, że sklep przestał sprzedawać.Wdrożony 01.10 (badanie profilem). Z zewnątrz przez Store API, bez składania zamówienia; próba z produktem tylko dla sklepów z listy config/sklepy.toml. Strona bez WooCommerce = nie dotyczy. | E01.01 Koszyk sklepu nie działa — sklep nie sprzedaje usterka niekrytyczna | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób sklep_koszyk · helper sklep_check | |
| Kasa działaE02 · E-commerceważność krytycznamierzony | Strona kasy renderuje formularz zamówienia i co najmniej jedną metodę płatności.Wdrożony 01.10 (badanie profilem). Z zewnątrz, tylko gdy koszyk dał się zbadać. | E02.01 Kasa sklepu nie działa — zamówienia nie przechodzą usterka niekrytycznaE02.02 Sklep bez żadnej metody płatności usterka niekrytyczna | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób sklep_kasa · helper sklep_check | |
| Obcy skrypt na stronie kasyE03 · E-commerceważność krytycznamierzony | Skrypt spoza listy zaufanych dostawców na stronie kasy — typowy skimmer kart płatniczych.Wdrożony 01.10 (badanie profilem). Z zewnątrz; ta sama lista zaufanych dostawców co przy obcych skryptach na stronie głównej. | E03.01 Obcy skrypt na stronie kasy — do sprawdzenia do weryfikacji | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób sklep_skrypty_kasy · helper sklep_check | |
| Cisza zamówieńE04 · E-commerceważność krytycznamierzony | Zamówień wyraźnie mniej niż zwykle na tej stronie o tej porze. Wykrywa zepsuty koszyk bez robienia zakupów.Test Agentów AI (02.10): zamówienia z 48 h wobec średniej z 28 dni, z bazy sklepu (tylko liczby). | E04.01 Cisza zamówień — sklep może nie sprzedawać do weryfikacji | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób wc_orders_silence · helper agenci_ai | |
| Nieudane płatnościE05 · E-commerceważność wysokamierzony | Odsetek zamówień nieudanych albo długo oczekujących na płatność powyżej normy strony. Awaria bramki albo zmiana jej ustawień.Test Agentów AI (02.10): nieudane i długo oczekujące zamówienia z 7 dni wobec normy strony. | E05.01 Za dużo nieudanych płatności do weryfikacji | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób wc_failed_payments · helper agenci_ai | |
| Zmiana metod płatnościE06 · E-commerceważność wysokamierzony | Lista włączonych metod płatności zmieniła się bez wiedzy agencji: wyłączona bramka albo podmienione dane.Wdrożony 01.10 (badanie profilem): lista bramek z Store API porównana z linią bazową strony (pierwszy odczyt = linia bazowa). | E06.01 Zmieniły się metody płatności sklepu do weryfikacji | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób sklep_platnosci · helper sklep_check | |
| Maile sklepu nie wychodząE07 · E-commerceważność wysokamierzony | Nieudane wysyłki wiadomości ze strony: potwierdzenia zamówień, reset hasła. Klient płaci, a potwierdzenia nie dostaje.Test Agentów AI (02.10): nieudane wysyłki z logu poczty strony; bez logu poczty — nie dało się sprawdzić. | E07.01 Maile sklepu nie wychodzą usterka niekrytyczna | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób wc_mail_failed · helper agenci_ai | |
| Zaległe zadania sklepuE08 · E-commerceważność średniamierzony | Nieudane albo przeterminowane zadania w tle sklepu: webhooki, subskrypcje, synchronizacja stanów magazynowych.Test Agentów AI (02.10): nieudane i przeterminowane zadania Action Scheduler. | E08.01 Zaległe albo nieudane zadania sklepu w tle usterka niekrytyczna | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób wc_scheduler_overdue · helper agenci_ai | |
| Nieaktualne szablony WooCommerceE09 · E-commerceważność średniamierzony | Motyw nadpisuje szablony starsze niż zainstalowany WooCommerce — częsta przyczyna rozjechanego koszyka po aktualizacji.Test Agentów AI (02.10): status systemu WooCommerce — szablony motywu starsze niż wtyczka. | E09.01 Nieaktualne szablony WooCommerce w motywie usterka niekrytyczna | agenci_aiAudyt AI strony z dostępem (Admin → Strony → Agenci AI) — na żądanie, przy każdym audyciesposób wc_templates_outdated · helper agenci_ai | |
| Zamówienie testoweE10 · E-commerceważność średniamierzony | Pełna ścieżka zakupu aż do bramki płatności w trybie testowym.Wdrożony 02.10: jedyny test, który tworzy prawdziwe zamówienie — tylko w sklepach, które się zgodziły (CREATO_PING config/sklepy.toml), co 7 dni; pozostałe sklepy — nie dotyczy. | E10.01 Zamówienie testowe nie dochodzi do płatności — sklep nie sprzedaje usterka niekrytyczna | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób shop_test_order · helper sklep_check |
TAB. 5Wydajność11 parametrów · mierzonych 11
Jak szybko strona ładuje się na telefonie i komputerze — w pomiarze i u realnych odwiedzających.
| Ikona | Parametr | Co sprawdza i po co | Typy Findingów i skutek dla statusu | Gdzie i jak często |
|---|---|---|---|---|
| Czas pojawienia się treści (LCP)W01 · Wydajnośćważność wysokamierzony | Kiedy odwiedzający widzi największy element strony — zdjęcie albo nagłówek. Profil taniego telefonu z Androidem decyduje o alarmie, iPhone i komputer idą do raportu.Wdrożony 01.10 dla premium (badanie profilem czyta nocny pomiar strony głównej). Laboratorium jest ok. 3× surowsze od realnych telefonów, więc progi skalibrowano na flocie i zatwierdzono 26.09: trochę wolniejsza > 13,5 s, wyraźnie wolna > 24,5 s. Tylko do raportu — wskaźnik 1–10 liczy pasmo W11. | W01.01 Czas pojawienia się treści (LCP) ponad progiem bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_lcp · helper wydajnosc_badanie | |
| Skakanie układu (CLS)W02 · Wydajnośćważność średniamierzony | Treść przesuwa się w trakcie ładowania — odwiedzający klika nie to, co chciał.Wdrożony 01.10 dla premium (nocny pomiar strony głównej). Tylko do raportu. Progi Google 1:1 (0,1 / 0,25). Pomiar obejmuje tylko ładowanie bez przewijania, więc skoki niżej na stronie widać dopiero w danych realnych użytkowników. | W02.01 Skakanie układu (CLS) ponad progiem bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_cls · helper wydajnosc_badanie | |
| Blokowanie przez skrypty (TBT)W03 · Wydajnośćważność średniamierzony | Jak długo strona nie reaguje na dotyk, bo przeglądarka przetwarza JavaScript. W pomiarze zastępuje reakcję na interakcję (INP), którą znają tylko dane realnych użytkowników.Wdrożony 01.10 dla premium (nocny pomiar strony głównej). Tylko do raportu. Progi skalibrowane na flocie, zatwierdzone 26.09: > 900 ms trochę wolniejsza, > 1700 ms wyraźnie wolna. | W03.01 Blokowanie przez skrypty (TBT) ponad progiem bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_tbt · helper wydajnosc_badanie | |
| Realni użytkownicy (CrUX)W04 · Wydajnośćważność wysokamierzony | Ocena Google z przeglądarek Chrome prawdziwych odwiedzających, osobno telefon i komputer. Gdy strona ma dość ruchu, wygrywa z pomiarem laboratoryjnym.Wdrożony 01.10 dla premium (CrUX na żywo przy badaniu). Tylko do raportu. Dane ma mniej więcej co czwarta strona portfolio (48 z 205, 25.09) — strona bez danych ma ten parametr „nie dotyczy”. Progi Google 1:1: LCP 2,5 / 4 s, INP 200 / 500 ms, CLS 0,1 / 0,25. | W04.01 Realni użytkownicy (CrUX) ponad progiem Google bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_crux · helper wydajnosc_badanie | |
| Nagłe pogorszenieW05 · Wydajnośćważność średniamierzony | Wynik wydajności spadł o co najmniej 15 punktów względem poprzedniego pomiaru — zwykle po aktualizacji wtyczki albo motywu.Wdrożony 01.10 dla premium (badanie profilem czyta nocny pomiar). Tylko do raportu — nie zmienia wskaźnika 1–10. | W05.01 Szybkość strony wyraźnie spadła od poprzedniego pomiaru bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_trend · helper wydajnosc_badanie | |
| Waga stronyW06 · Wydajnośćważność niskamierzony | Strona główna na telefonie waży ponad 3 MB — zwykle przez nieprzeskalowane zdjęcia.Wdrożony 01.10 dla premium (badanie profilem czyta nocny pomiar). Tylko do raportu — tłumaczy przyczynę wolnego ładowania. | W06.01 Strona główna bardzo ciężka na telefonie bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_waga · helper wydajnosc_badanie | |
| Kluczowe podstronyW07 · Wydajnośćważność średniamierzony | Po jednej podstronie z każdego szablonu (strona, wpis, produkt, kategoria) — z mapy strony, tak jak grupuje je Search Console.Wdrożony 01.10 dla premium (nocny pomiar podstron), tylko do raportu. Wybór podstron działa od 26.09: do trzech na stronę, pierwszeństwo mają adresy z danymi realnych użytkowników, wybór zamrożony na 3 miesiące. | W07.01 Kluczowa podstrona ponad progiem bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_podstrony · helper wydajnosc_badanie | |
| KompresjaW08 · Wydajnośćważność niskamierzony | HTML, CSS i JS wysyłane bez kompresji gzip ani brotli.Wdrożony 01.10 (badanie profilem). Bez przeglądarki; tylko do raportu. | W08.01 Serwer wysyła pliki bez kompresji bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_kompresja · helper wydajnosc_serwer | |
| Cache stronyW09 · Wydajnośćważność średniamierzony | Brak śladów cache stron (LiteSpeed, WP Rocket, Cloudflare…) — każda wizyta składa stronę od zera.Wdrożony 01.10 (badanie profilem). Bez przeglądarki; tylko do raportu. | W09.01 Brak cache stron — każda wizyta składa stronę od zera bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_cache_strony · helper wydajnosc_serwer | |
| HTTP/2 i cache plikówW10 · Wydajnośćważność niskamierzony | Serwer bez HTTP/2 albo zdjęcia, style i skrypty bez długiego nagłówka Cache-Control.Wdrożony 01.10 (badanie profilem). Bez przeglądarki; tylko do raportu. | W10.01 Serwer bez HTTP/2 bez wpływuW10.02 Pliki strony bez długiego cache przeglądarki bez wpływu | skaner_badanieSkaner 2.0, badanie kohorty: premium co 12 h, reszta co 24–48 hsposób wydajnosc_http2_cache · helper wydajnosc_serwer | |
| Ocena wydajnościW11 · Wydajnośćważność wysokamierzony | Pasmo oceny strony (dobra, słaba, zła) według najgorszej z metryk LCP, CLS i TBT oraz danych realnych użytkowników (CrUX).Wdrożony 01.10: pasmo liczy nocny pomiar CREATO_PING (premium co 7 dni, reszta co 30 dni — `tools/wydajnosc_noc.py` DNI); LAB247 odbiera je z odczytów skanera. | W11.01 Strona ładuje się wyraźnie wolno usterka niekrytycznaW11.02 Strona ładuje się wolniej niż większość portfolio usterka niekrytyczna | skaner_wydajnosc_nocSkaner 2.0, nocny Lighthouse (tools/wydajnosc_noc.py): premium co 7 dni, reszta co 30 dnisposób wydajnosc_wynik · helper wydajnosc_pasmo |
- Ikona
- Kreski w lewym górnym rogu: 1 = dostępność, 2 = bezpieczeństwo, 3 = SEO, 4 = e-commerce, 5 = wydajność. Po najechaniu dymek z opisem, kliknięcie prowadzi na podstronę parametru.
- Grupa
- Parametry bezpieczeństwa są ułożone w Grupy według sprawdzanego obiektu (certyfikat, pliki, nagłówki…). Grupa to tylko etykieta — nie wchodzi do kodu parametru.
- Ważność
- Krytyczna, wysoka, średnia, niska. Decyduje, jak szybko parametr przekłada się na zmianę statusu strony.
- mierzony / nie mierzony / zaplanowany
- Czy parametr jest dziś sprawdzany na LAB247: 87 z 87. „Zaplanowany" (0) znaczy, że sondy jeszcze nie ma w CREATO_PING; „nie mierzony", że sonda istnieje, ale dziś nikt jej nie uruchamia. Ani jedno, ani drugie nie ma wartości ani obietnicy; ikona jest jaśniejsza.
- Typy Findingów
- kod typu = kod parametru + numer (B38.01); pełna lista w Parametry → Typy Findingów.
- Skutek
- Status, jaki strona dostaje po otwarciu Findingu. „Bez wpływu” = tylko statystyka.
- P4 / P3
- Bezpieczeństwo szybkie (ewidentne przejęcie) i dokładne (wersje, pliki, nagłówki, SEO).