Diffbell — что изменилось на сайте со вчера

Как это работает

Тридцать секунд утром вместо звонка от клиента днём

03:00

Ночной обход

Проходим по всем доменам, которые вы завели. Смотрим снаружи, так же как смотрит браузер обычного посетителя: сертификат, заголовки, DNS, порты, что подгружается на страницу.

06:10

Сравнение со вчерашним снимком

Каждый ответ сохраняется. В ленту попадает только разница — появилось, пропало, изменилось. Если за сутки ничего не изменилось, лента пустая, и это нормальное состояние, а не ошибка.

09:00

Один экран и один звонок

Открываете кабинет и видите не список из сорока доменов, а шесть строк за ночь и двух клиентов, которым стоит позвонить сегодня. Остальное не требует вашего внимания.

—

Если что-то сломалось раньше утра

Сертификат, который истекает через неделю, или упавший сайт не ждут утренней сводки — приходят в Telegram сразу. Всё остальное копится до утра, чтобы не дёргать вас двадцать раз в день.

Кевин — корги в жёлтой каске с налобным фонарём и колокольчиком на ошейнике — Кевин · обход

«Иду по кругу. Обычно это минута.»

Он не охраняет и не пугает. Он просто каждую ночь проходит один и тот же маршрут — и замечает, что стало не так, как было.

Что вы получаете утром

Слева — то, что отдаёт сайт. Справа — то, что мы отдаём вам

Данных снаружи всегда много. Работа продукта не в том, чтобы их собрать, а в том, чтобы сказать, какая из двадцати строк изменилась за ночь и что с этим делать.

Ответ сервера, 27 августа

HTTP/2 200
server: nginx
date: Wed, 27 Aug 2026 03:11:44 GMT
content-type: text/html; charset=utf-8
vary: Accept-Encoding
x-content-type-options: nosniff
x-frame-options: SAMEORIGIN
referrer-policy: strict-origin-when-cross-origin
content-security-policy: default-src 'self'
permissions-policy: geolocation=(), camera=()
cache-control: private, max-age=0
set-cookie: sid=...; Path=/; Secure; HttpOnly
x-request-id: 4f1a9c02-77b3-4e10
cf-cache-status: DYNAMIC
alt-svc: h3=":443"; ma=86400

Пятнадцать строк, все выглядят нормально. Изменилась одна — её здесь не видно, потому что она исчезла.

Строка в вашей ленте

Пропал HSTS пропало

Ромашка romashka-flowers.ru сегодня 06:12

26 августа Strict-Transport-Security: max-age=31536000; includeSubDomains

Сейчас заголовок не отдаётся

Держался 61 день подряд. Пропажа совпала с релизом 26.08 в 23:15 — похоже, потерялся add_header в новом конфиге nginx.

06:126

Показать, что вернуть в конфиг Отчёт клиенту Проверить ещё раз

Мы не пишем «критическая уязвимость» и не считаем ущерб в рублях. Пишем, что было, что стало и когда это случилось. Дальше решаете вы — это ваш клиент и ваш сервер.

Кому это подходит

Три ситуации, в которых утренняя разница нужна

парк сайтов

Студия на поддержке

Десятки клиентских сайтов, релизы у разных подрядчиков. Алерт об изменении превращается в повод для плановой работы — и в счёт, а не в аварию.

один сайт

Владелец или ИП

Нужно понять текущее состояние без покупки пентеста. Разовая проверка — 199 ₽, отчёт одним файлом, который откроется в браузере через год.

свой продукт

Техлид и девопс

Аптайм-мониторинг отвечает «сайт открывается». Он открывается — ровно в тот момент, когда съезжает всё остальное. Мы про второй вопрос.

Отчёт клиенту

Клиент получает документ от вас, а не от нас

Находку, за которую вы выставите счёт, нужно чем-то показать заказчику. Отчёт собирается в один HTML-файл под вашим логотипом и вашим цветом. Нашего имени в нём нет — если вы сами его не поставите.

Фирменный цвет студии

Название студии

Логотип загружается файлом. Здесь, для примера, — буква из названия.

Один самодостаточный HTML-файл: открывается без интернета, пересылается почтой, печатается в PDF.
Формулировки те же, что у вас в кабинете. Клиент читает то же, что читали вы.
Проверки, которые не выполнились, названы отдельно и не выдаются за пройденные.
Маскота и нашего фирменного стиля в отчёте нет ни в каком виде.

П Практика Диджитал Технический отчёт о проверке · 27.08.2026

romashka-flowers.ru

Проверка от 27 августа 2026, 06:12 МСК. Наблюдение ведётся с 12 марта 2026.

За сутки изменилось одно: сайт перестал отдавать заголовок HSTS.

Заголовок отдавался 61 день подряд и пропал в ночь на 27 августа. Пока его нет, первый заход по http:// идёт без шифрования.

Что изменилось

Заголовок Strict-Transport-Security больше не отдаётся

Было 26.08: max-age=31536000; includeSubDomains

Сертификат перевыпущен, срок до 21.11.2026

Покрывает romashka-flowers.ru и www

Что проверить не удалось

Две проверки из двадцати пяти не выполнились: сайт ответил 403 на запросы к /.well-known/. Это не означает, что там всё в порядке — это означает, что мы туда не попали.

Отчёт описывает то, что видно снаружи на дату проверки. Это не аудит соответствия и не заключение о защищённости.

Практика Диджитал
hello@praktika.digital

Что смотрим

Двадцать пять проверок. Не «более тридцати», не «комплексная защита»

Тринадцать пассивных — смотрим ровно то, что сайт сам отдаёт браузеру, и запускаем их на любом домене. Двенадцать активных — отправляют запросы к вашему сайту и включаются только после подтверждения, что домен ваш.

TLS и сертификат

ssl_tls
ct_logs

DNS и CAA

dnssec_caa

Заголовки ответа

headers
sri_mixed

Cookie

cookies

Фронтенд и библиотеки

frontend_recon
supply_chain

Утечки в исходниках

secrets
source_maps_passive
source_maps_active

API и CORS

cors
api_leaks
graphql
swagger

Файлы и точки входа

backups
sensitive_files
devops_leaks

Поведение сервера

error_handling
open_redirect

Отпечаток и WAF

fingerprint
waf

Порты и внешняя видимость

ports
shodan

Контакт для сообщений

security_txt

пассивная — только то, что сайт отдаёт сам активная — шлёт запросы, нужно подтверждение домена Полный перечень проверок — в отчёте, который приходит по результату

Бейдж

Бейдж говорит, что за сайтом смотрят. И больше ничего

Публичной таблицы проверенных сайтов у нас нет и не будет: мы проверяем сайты ваших клиентов, и публиковать их состояние — значит торговать чужими проблемами. Вместо этого — бейдж, который ставит владелец подтверждённого домена, если сам захочет.

Ромашка

КаталогДоставкаКонтактыПолитика

Код для вставки

Ни одной строки JavaScript Картинка и ссылка. Мы продаём внимание к чужому коду на сайте — было бы странно просить вставить свой скрипт клиенту в подвал.

Без cookie и без счётчиков Посетителям сайта вашего клиента мы ничего не ставим и их адреса не храним. Считаем только суммарные показы бейджа за сутки.

Дата обновляется сама Картинка отдаётся с нашей стороны с датой последней проверки. Кешируется на час. Можно скачать и положить к себе — тогда дата замрёт, и мы об этом пишем прямо.

Адрес не выдаёт домен В ссылке случайный код, а не имя сайта. По нему нельзя перебрать наших клиентов.

Куда ведёт бейдж

diffbell.ru/b/7f3ad2c9

Наблюдаемый домен

romashka-flowers.ru

27 августапоследняя проверка, 06:12 МСК

90 из 90суток подряд за 90 дней

12 марта 2026наблюдение начато

Результаты проверок здесь не публикуются. Их видит только тот, кто ведёт сайт.

Бейдж не означает, что сайт защищён, и не является сертификатом. Он означает ровно одно: сайт ежедневно осматривают снаружи, и последний осмотр был в указанную дату.

Что входит в ежедневный осмотр

сертификат и TLS заголовки ответа DNS и CAA открытые порты сторонние скрипты утечки в сборке ещё 6 групп

Наблюдение ведёт Практика Диджитал Так же следить за своими сайтами

Страница на 80% состоит из того, чего на ней нет. Это и есть довод: человек, который перешёл по бейджу с сайта конкурента, видит инструмент, который не торгует чужими находками. Такой бейдж не стыдно поставить клиенту в подвал — он никогда не покраснеет и ничего о клиенте не расскажет.

Кто это делает

Один человек, и он же отвечает на письма

Меня зовут Александр. Полгода я писал инструмент, который смотрит на сайт снаружи. Потом проверил его как следует — и нашёл в нём семь дефектов, включая возможность выполнить команду на моей стороне через имя домена. Все семь исправлены, на каждый есть тест, который падает без исправления.

Кейсов и отзывов у меня пока нет — продукт молодой, и притворяться иначе глупо. Что есть: привычка проверять собственную работу так же въедливо, как чужую, и говорить о находках вслух, а не мелким шрифтом.

Границы

Чего мы не обещаем

Не обещаем безопасность. Показываем, что видно снаружи и что изменилось. Сайт с хорошим отчётом может быть взломан через то, чего снаружи не видно.

Не обещаем соответствие стандарту. Оценку соответствия дают аккредитованные организации. Мы проверяем технические индикаторы и называем это технической проверкой.

Не обещаем полноту. Двадцать пять проверок — это двадцать пять проверок, а не «всё».

Не обещаем нуля ложных срабатываний. На нашем корпусе их ноль, и корпус лежит в репозитории. В поле мы ошибаемся — каждая пойманная ошибка попадает в корпус.

Не применяем исправления сами. Отдаём готовый скрипт и объясняем каждую строку. Кнопку нажимает тот, у кого есть доступ к серверу, — потому что отвечает за последствия он.

Доступ

Пришлите домены — первую разницу увидите через сутки Заведите первый домен — работает и с одним

Берём три-пять клиентских доменов, проверяем каждый день и раз в неделю присылаем одно письмо с разницей: что появилось, что пропало, к какому клиенту это относится. Разбор делает человек, поэтому в письме нет строк «возможно» — только то, что видно.

Добавьте домены, которые вы ведёте. Первый обход пройдёт этой же ночью, первая лента изменений появится через сутки — раньше сравнивать не с чем.

Сколько стоитПервый парк доменов разбираем бесплатно — так вы увидите, что именно приходит, до всяких обязательств. Тарифы — на отдельной странице.
Что попросим взаменДвадцать минут разговора о том, как вы сейчас узнаёте, что у клиента что-то отвалилось. Это единственное, чего нам не хватает.
Что с доменами клиентовПассивные проверки идут сразу. Активные — только после того, как вы подтвердите права на домен записью в DNS. Что происходит с чужими доменами — раздел 12 политики.
Кто отвечаетОтвечает на письма тот же человек, который пишет движок. Поэтому на вопрос «почему сканер так решил» вы получите разбор, а не отписку службы поддержки.

Написать

Отвечает человек, а не автоответчик. Обычно в течение двух рабочих дней.

Почта

Сколько сайтов вы ведёте

Домен, который посмотреть первым — не обязательно

Посмотрю пассивно, как это делает браузер, и пришлю, что видно. Без активных запросов и без подтверждения прав.

Как вы сейчас узнаёте, что у клиента что-то отвалилось — не обязательно

Это единственное, что я прошу взамен. Ответ помогает понять, что вообще стоит делать.

Если находок не будет — так и напишу, это тоже результат.

Записал

Отвечу с адреса hello@diffbell.ru в течение двух рабочих дней. Если указали домен — пришлю разбор в том же письме.

Пока ждёте, можно посмотреть демо-кабинет.

Ночью проверяем.Утром вы уже знаете,что изменилось.

Тридцать секунд утром вместо звонка от клиента днём

Ночной обход

Сравнение со вчерашним снимком

Один экран и один звонок

Если что-то сломалось раньше утра

Слева — то, что отдаёт сайт. Справа — то, что мы отдаём вам

Ответ сервера, 27 августа

Строка в вашей ленте

Три ситуации, в которых утренняя разница нужна

Студия на поддержке

Владелец или ИП

Техлид и девопс

Клиент получает документ от вас, а не от нас

romashka-flowers.ru

Двадцать пять проверок. Не «более тридцати», не «комплексная защита»

Бейдж говорит, что за сайтом смотрят. И больше ничего

romashka-flowers.ru

Один человек, и он же отвечает на письма

Чего мы не обещаем

Пришлите домены — первую разницу увидите через сутки Заведите первый домен — работает и с одним

Написать

Записал

Ночью проверяем.
Утром вы уже знаете,
что изменилось.