Проверил 284 сайта крупных компаний. У каждого четвёртого письмо от их имени может отправить кто угодно

Я пишу утилиту для проверки сайтов, называется Suveren. Недавно прогнал через неё 284 сайта больших российских компаний: банки, магазины, вузы, клиники, застройщики, медиа, госсайты. На Хабре уже был длинный технический разбор с DNS-записями и заголовками. Здесь попробую рассказать то же самое для тех, кто сайтом владеет, а не настраивает его.

Компании называть не буду. Проверка автоматическая, где-то она могла ошибиться, да и стыдить никого не хочется.

Самое неприятное, что нашлось, касается почты.

Клиенту приходит письмо с настоящего адреса компании. Ну, например, «у нас поменялись реквизиты, оплатите счёт сюда». Адрес верный, почта ничего подозрительного не показывает. Человек платит, деньги уходят мошенникам, а клиент потом приходит ругаться к вам.

От этого защищает одна запись в DNS, DMARC. В ней написано, что делать с письмом, которое отправили от вашего имени с чужого сервера: пропустить, кинуть в спам или выбросить.

У 275 доменов запись получилось прочитать. Вот что вышло:

Итого у 66 доменов подделка проходит спокойно, это почти четверть. Хуже всех вузы, там 26 из 28. Письмо «от деканата» с новым расписанием в начале сентября откроют все.

Свою компанию можно проверить прямо сейчас. В Windows открываете командную строку и пишете

nslookup -type=TXT _dmarc.ваш-сайт.ru

Смотрите, что стоит после p=. reject хорошо, quarantine терпимо. Если там none или вообще ничего не нашлось, перешлите это админу.

Владельцев сайтов обычно больше всего волнует 152-ФЗ, так что вот цены для юрлица:

Чаще всего я натыкался на Google Analytics, он стоит на половине сайтов. Человек открыл страницу, и его IP с cookies уже улетели в США. Это трансграничная передача персональных данных. С марта 2023 года про неё надо заранее уведомить Роскомнадзор, и, судя по всему, многие об этом не в курсе.

Мне стало интересно, совпадает ли то, что написано в политике, с тем, что делает сайт. У 31% не совпадает.

На одном сайте в политике прямо написано: «Компания не осуществляет трансграничную передачу данных». И на нём же стоит Google Analytics.

На другом: «Данные не передаются третьим лицам». А на странице Meta Pixel, рекламная сеть и ещё пара счётчиков.

Не думаю, что кто-то врёт специально. Скорее политику писал юрист по шаблону, а счётчики ставил маркетолог, и они друг про друга не знают. Только Роскомнадзору это объяснять будет неприятно. Посадите их как-нибудь вместе, пусть сверят список счётчиков с тем, что написано в политике. Половину счётчиков, скорее всего, давно никто не открывал, их проще удалить.

Ещё по ряду признаков видно, что сайт сделали и забыли.

Почти у четверти сайтов подключены старые библиотеки с известными дырами, в основном jQuery 2013–2016 годов. Описания атак на них давно лежат в открытом доступе. У трети серверов ещё работают протоколы шифрования, которые официально запретили в 2021 году. У 12 сайтов сертификат истекал в ближайшие две недели, и если автопродление не сработает, клиенты утром увидят красный экран.

Отдельно понравились брошенные поддомены, их нашлось пять. История обычно такая: был когда-то блог на blog.компания.ru в облаке, проект закрыли, сервер удалили, а адрес в DNS так и остался. Теперь его может занять любой и выложить там что угодно под именем компании. Я сам, понятно, ничего не занимал, только посмотрел снаружи.

Тут крупный бизнес в целом молодец: серверы за границей нашлись только у четырёх сайтов. Но SSL-сертификат иностранный у 74%, почта в Google у 20 компаний, DNS в Cloudflare у 13. Закон это не нарушает. Просто если один из этих сервисов решит отключить российских клиентов, у компании в один день встанет почта или сайт. Лучше знать про это заранее.

С госсайтами, кстати, я ждал строгости, а вышло так себе. Из 18 доменов почту можно подделать у 10. Зато Google Analytics нашёлся только на одном.

Почти ничего. Хороший админ закроет большую часть за вечер.

DMARC лучше включать постепенно, за пару недель, иначе можно случайно порезать собственные рассылки. Старые библиотеки обновить, старые протоколы выключить, это пара строк в конфиге. Поддомены раз в полгода пролистать и удалить лишние. С Google Analytics решить, нужен он или нет, и если нужен, уведомить Роскомнадзор. Ну и проверить, что рядом с каждой формой есть согласие на обработку данных.

Всё вместе выйдет дешевле самого маленького штрафа из таблицы выше.

Зачем я вообще её написал. Почту можно проверить в одном сервисе, сертификат в другом, заголовки в третьем, а про 152-ФЗ обычно приходится звать юриста и платить за аудит. Зарубежные сервисы про наш закон ничего не знают, а про то, что важно у нас (реестр блокировок, Роскомнадзор, иностранные счётчики, сертификат Минцифры), тем более. Мне хотелось, чтобы всё это проверялось за один раз, бесплатно и на своём компьютере, без отправки чего-то куда-то. Готового такого я не нашёл, поэтому сделал.

Утилита бесплатная, код открыт: https://github.com/marsilid/suveren

Для Windows там есть готовый Suveren.exe. Скачиваете, запускаете, вводите адрес. Секунд через 20–30 откроется отчёт: можно ли подделать вашу почту, что с 152-ФЗ, кому уходят данные посетителей и что чинить первым. Его можно сохранить в PDF или Word и отправить подрядчику.

Ничего не взламывается, утилита смотрит только то, что видит обычный посетитель: страницы и открытые записи DNS. Юриста она, конечно, не заменит, но подскажет, о чём его спросить.

Если на вашем сайте она что-то напутала, пишите в комментариях. После статьи на Хабре я уже выпустил две версии с исправлениями по комментариям читателей.