За проверката
Добър резултат тук не означава, че дружеството е защитено. Означава, че точно тези врати, гледани отвън, са затворени.
Тази проверка не е пенетрейшън тест. Тя е оценка на външната изложеност — наблюдение на публично достъпното, без никакво докосване до вътрешните ви системи.
Какво проверихме
- Прочетохме публичните DNS записи на домейна (адреси, пощенски сървъри, SPF, DKIM, DMARC).
- Проверихме и записите за подписан домейн (DNSSEC), за ограничение върху издаването на сертификати (CAA) и за защитен пренос на пощата (MTA-STS, DANE, TLS-RPT).
- Отворихме стандартния адрес /.well-known/security.txt — файла, чието предназначение е да каже на кого да се съобщи открит проблем.
- Прегледахме публичните дневници на издадените сертификати, за да съставим списък на поддомейните.
- Проверихме дали поддомейни сочат към чужда услуга, чието име вече не съществува в DNS. Това се вижда само при услуги, които изтриват името при освобождаване (Azure, AWS Elastic Beanstalk); при GitHub Pages, Heroku, Amazon S3 и подобни освободеното име продължава да отговаря и такива адреси изброяваме като непроверени.
- Съставихме вероятните правописни варианти на домейна ви и попитахме публична услуга за справка в DNS дали са регистрирани; потърсихме името ви и в дневниците на сертификатите. Собствените ви домейни – на същите сървъри за имена или с общ сертификат – изключихме.
- Проверихме сертификата на сайта при обикновено свързване — същото, което прави всеки браузър.
- Проверихме и дали сървърът все още приема остарелите версии TLS 1.0 и TLS 1.1. За целта се свързахме по стандартния начин до още два пъти на адрес – най-много три обикновени свързвания общо – като при тях предложихме само старата версия на протокола, както би направил стар браузър. Освен самото свързване не сме изпращали нищо.
- Заредихме сайта веднъж като обикновен посетител и прочетохме заглавките за сигурност.
- Прочетохме до 12 публични страници от сайта, спазвайки robots.txt, с не повече от една заявка в секунда.
- Сверихме публичните адреси с базата на Shodan InternetDB — техни данни, не наше сканиране — и прочетохме обратния DNS запис на всеки адрес, за да кажем чий смятаме, че е.
- Проверихме в публичните бази за уязвимости само софтуер, чиято версия сайтът сам оповестява.
- Прочетохме кои доставчици личат от публичните DNS записи на домейна – маркери за потвърждение, пощенски сървъри, разрешени изпращачи.
Какво не правим — никога
- Не сме сканирали портове.
- Не сме изпращали нестандартни, изменени или зловредни заявки.
- Не сме опитвали да влезем с потребител и парола.
- Не сме проверявали полета за въвеждане и не сме търсили скрити адреси; не сме отгатвали ваши поддомейни.
- Не сме се свързвали с адреси, които не са публични, и не сме посещавали домейни, подобни на вашия.
- Не сме докосвали нищо зад вход с парола.
- Не сме променяли нищо във вашите системи.
Тези граници са причината проверката да е законна без писмено възлагане от ваша страна. Те са заложени в самия код на системата, а не са обещание.
Какво гледа всяка проверка – и какво не може да види
DNS записи и пощенски сървъри
- гледа
- Публичните DNS записи на домейна: адресите, пощенските сървъри и трите записа, които решават дали някой може да праща писма от ваше име – SPF, DKIM и DMARC.
- не вижда
- Настройките вътре в пощенската ви система и филтрите на доставчика. DKIM ключовете се публикуват под имена, които само вие знаете; проверяваме обичайните и може да не уцелим вашето.
- може да сгреши, когато
- ползвате DKIM под необичайно име – тогава пишем „не намерихме“, а не „нямате“. Когато DNS не отговори, записваме „не е проверено“, а не липса.
Подпис на домейна и защитен пренос на пощата
- гледа
- Дали домейнът е подписан (DNSSEC), дали ограничава кой може да му издава сертификати (CAA), дали пощата към вас е защитена по пътя (MTA-STS, DANE, TLS-RPT) и дали записът SPF не надхвърля десетте справки, след които спира да действа.
- не вижда
- Дали пощенският ви сървър наистина шифрова връзката – не се свързваме с него. Четем само това, което сте публикували.
- може да сгреши, когато
- и двете публични услуги за справка, които ползваме, не отговорят едновременно – тогава резултат няма, а не „липсва“.
Поддомейни от дневниците на сертификатите
- гледа
- Публичните дневници на издадените сертификати. Всеки сертификат, издаден за ваш поддомейн, е записан там завинаги, затова от тях се вижда какви имена сте публикували.
- не вижда
- Поддомейни, за които никога не е издаван публичен сертификат. Не отгатваме имена и не се свързваме с намерените.
- може да сгреши, когато
- име от стар сертификат вече не съществува – дневникът показва историята на сертификатите, не днешното състояние. Име като „test“ или „vpn“ е указание, не доказана слабост, и така го наричаме.
Изоставени препратки към чужди услуги
- гледа
- Поддомейни, които сочат към чужда услуга, чието име вече не съществува в DNS. Това се вижда само при услуги, които изтриват името при освобождаване – Azure и AWS Elastic Beanstalk; там друг може да го заеме и да публикува на ваш адрес.
- не вижда
- GitHub Pages, Heroku, Amazon S3, Netlify и подобни: при тях освободеното име продължава да се разрешава и проблемът личи само в съдържанието на страницата, което не отваряме за тази цел. Такива адреси изброяваме като непроверени, никога като „наред“.
- може да сгреши, когато
- името е временно недостъпно, а не освободено. Затова всяка такава констатация е „кандидат“: потвърждаването ѝ би означавало да заемем името, а това не правим при никакви обстоятелства. „Критична“ е само при услуга, при която освободено име и днес може да бъде заето от всеки.
Заглавки за сигурност на сайта
- гледа
- Едно обикновено зареждане на началната страница и петте заглавки, с които сайтът казва на браузъра как да пази посетителя.
- не вижда
- Останалите страници, всичко зад вход с парола и заглавки, които се задават само на отделни адреси.
- може да сгреши, когато
- пред сайта стои защита срещу автоматични посетители и отговори тя вместо вас. Разпознаваме това и пишем „не е проверено“ – нито „наред е“, нито „липсват“.
Доставчици, видими в DNS
- гледа
- Кои външни доставчици се виждат отвън. Четем записите TXT, MX, SPF и DMARC, които вече сте публикували, и един CNAME – на адреса, към който сайтът ви сам ни препрати. Оттам се разчита кой получава пощата ви и с кои услуги сте се свързвали.
- не вижда
- Всичко, което не е публикувано в DNS, и всеки доставчик, чийто отпечатък не оставя публична следа. Нищо тук не се свързва с вас и с доставчиците ви – имена не се отгатват.
- може да сгреши, когато
- запис TXT е останал след прекратена услуга. Такъв запис доказва само че веднъж сте се потвърдили пред този доставчик, и констатацията го казва точно така. MX, SPF и CNAME са днешната настройка и са описани като нея.
Оповестени технологии и версии
- гледа
- Само това, което сайтът сам обявява в отговора си и в кода на началната страница: име на софтуер и – ако е изписана – версия.
- не вижда
- Софтуер, който не се обявява. Не отваряме втори адрес, за да научим версия, и не я отгатваме по поведение.
- може да сгреши, когато
- обявената версия не е действителната – доставчикът на операционната система често поправя пропуски, без да сменя номера. Затова всичко, изведено от версия, е отбелязано като „косвен признак“.
Публикуван адрес за сигнали
- гледа
- Стандартния адрес /.well-known/security.txt – файла, който казва на кого да се съобщи открит проблем. Броим го за наличен само ако съдържа ред за контакт, както изисква стандартът.
- не вижда
- Други начини, по които приемате сигнали – страница „Контакти“, програма за награди, обща поща.
- може да сгреши, когато
- сайтът връща обикновена страница на всеки адрес – затова четем съдържанието, а не само кода на отговора. Зад защита срещу автоматични посетители резултатът е „не е проверено“.
Сертификати и версии на TLS
- гледа
- Сертификата, който сайтът представя при обикновено защитено свързване – валиден ли е, за вашето име ли е, кога изтича – и дали сървърът още приема остарелите версии TLS 1.0 и 1.1. За второто се свързваме още два пъти по стандартния начин, както стар браузър; нищо не се изпраща след ръкостискането.
- не вижда
- Услуги на други портове и настройките на шифрите един по един – не ги изброяваме. При сравнението с други дружества въпросът за остарелите версии не се задава изобщо.
- може да сгреши, когато
- веригата на сертификата е непълна: браузърите обикновено я допълват сами, друг софтуер – не. Когато сървърът не отговори навреме, пишем „не е проверено“.
Публично видими услуги
- гледа
- Какви услуги на вашите адреси е видяла публичната база Shodan InternetDB. Това е тяхно наблюдение от тяхно обхождане – ние не сканираме портове.
- не вижда
- Кога точно са гледали: базата не съобщава дата. Порт от списъка може вече да е затворен, а отворен порт може да липсва в него.
- може да сгреши, когато
- адресът е споделен или на доставчик, а ние не сме го разпознали – тогава услугите са на доставчика, не ваши. Разпознатите споделени адреси (по обратния DNS запис, по чужди сайтове на същия адрес и по портовете на панел за споделен хостинг) показваме като информация, без тежест, и казваме защо; за останалите казваме с едно изречение чий смятаме, че е адресът. Всяка констатация тук е „по чужди данни“.
Известни уязвимости
- гледа
- Публичната база за уязвимости OSV – само за софтуер, чиято версия сайтът сам е обявил.
- не вижда
- Уязвимости в софтуер без видима версия и дали дадена уязвимост изобщо е достижима при вашата настройка.
- може да сгреши, когато
- доставчикът на операционната система вече е поправил пропуска, без да смени номера на версията. Вярно е за версията изобщо; за вашата инсталация е указание, което вашият ИТ екип потвърждава за минути.
Публичните страници на сайта
- гледа
- До 12 публични страници от сайта, прочетени като обикновен посетител – най-много една заявка в секунда и само каквото robots.txt разрешава.
- не вижда
- Страници, към които няма връзка, всичко зад вход и съдържание, което се появява едва след изпълнение на код в браузъра.
- може да сгреши, когато
- сайтът се изгражда изцяло в браузъра – тогава прочитаме малко и го казваме в обхвата на проверката.
Какво сайтът зарежда от чужди сървъри
- гледа
- Какво страниците ви зареждат от чужди сървъри – скриптове, стилове, шрифтове – и дали скриптовете носят отпечатък, който пречи да бъдат подменени.
- не вижда
- Всичко, което се зарежда едва при изпълнение – например чрез мениджър на тагове. Не изпълняваме код, затова всяко число тук е „поне толкова“.
- може да сгреши, когато
- скриптът е от адрес, който доставчикът нарочно променя без предупреждение – там отпечатък не може да се приложи и не го препоръчваме.
Оставени пароли и ключове в кода
- гледа
- Кода, който собствените ви страници зареждат от вашия домейн – за стойности, които по замисъл не бива да стигат до браузър: частни ключове, пароли за бази данни, тайни ключове за плащания.
- не вижда
- Ключове, които са публични по предназначение – за карти, за плащания от страна на клиента, за защита от ботове. Тях нарочно не търсим. Чужди скриптове не отваряме.
- може да сгреши, когато
- стойността е примерна или вече е обявена за невалидна. Не я използваме, за да проверим; пазим само първите ѝ знаци и дължината.
Метаданни в публикуваните документи
- гледа
- Скритите данни в няколко документа, към които сайтът сам дава връзка – автор, програма, път, от който файлът е записан.
- не вижда
- Документи без връзка от сайта и данни в края на големи файлове – четем само началото им, за да не теглим излишно.
- може да сгреши, когато
- в полето за автор стои име на фирма или на шаблон, а не на човек. Отсяваме ги, но не безпогрешно.
Домейни, подобни на вашия
- гледа
- Вероятните правописни варианти на домейна ви – изпусната или разменена буква, съседен клавиш, кирилска буква вместо латинска – проверени в публична услуга за справка в DNS дали са регистрирани; и дневниците на сертификатите за имена, които съдържат вашето с добавка. За намерените – дали могат да получават поща.
- не вижда
- Кой е регистрирал домейна и защо. Не го посещаваме и не му пишем; ваши поддомейни не отгатваме.
- може да сгреши, когато
- домейнът е ваш – друга държава, стара марка, дъщерно дружество. Домейни на същите сървъри за имена и с общ сертификат с ваш изключваме; останалите са „кандидат за преглед“, а не „измама“.
Сравнението с други дружества
Измерваме български дружества от публикувани класации, сектор по сектор, само с най-леките проверки: публичните DNS записи, едно зареждане на началната страница, едно обикновено защитено свързване и файла security.txt. Без обхождане на сайта, без четене на документи, без езиков модел. Сравнение се показва само срещу поне 30 дружества; когато секторът е по-малък, показваме всички сектори и го казваме. Вашето място се смята от същите леки проверки, не от пълната проверка – иначе всеки посетител би изглеждал по-зле само защото е гледан по-подробно.
Никое измерено дружество не се назовава и не може да бъде разпознато. Показват се само сборни числа, винаги с броя на дружествата и месеца на измерване.
Мястото сред другите е място, а не прогноза. От него не следва колко вероятен е пробив.
Колко често сме прави
Наш човек проверява констатации на ръка и отбелязва всяка като вярна или невярна. Под 20 проверени случая не публикуваме процент – пишем „още не е измерено“.
Още няма ръчно проверени констатации. Таблицата се попълва с всяка проверена.
Колко често прегледът спира констатация
Преди да видите резултата, втори модел чете готовата оценка като недоверчив експерт, проверява твърденията със собствени средства и може да спре констатация. Не може да я пренапише.
- 5% от констатациите са спрени (4 от 77).
- В 75% от оценките е спряна поне една (3 от 4).
последните 90 дни · към 27.10.2026
Ако смятате, че грешим
Всяка констатация в пълния доклад има бутон „Това не е вярно“: не е наш сървър, вече е поправено, имаме друга защита – или свободен текст. Чете го човек и отговаря до два работни дни. Оспорването не променя доклада автоматично; решава човекът.
Как ще ни разпознаете в дневниците си
Всяка наша заявка се представя с това име. Ако го видите в дневниците на сървъра си, това сме ние — при не повече от една заявка в секунда и най-много 12 страници.
VanguardOne-Exposure/1.0 (+https://vanguard.ttegav.com/za-proverkata)
Спазваме robots.txt. Ако не желаете да четем сайта ви, забранете този потребителски агент и повече няма да го правим.
Ако не желаете да бъдете измервани
Пишете ни от адрес на вашия домейн. Изтриваме измерванията за дружеството и повече не го мерим – включително ако списъкът бъде зареден отново. Отделно от това спазваме robots.txt: ако той забранява автоматично четене, не зареждаме сайта и четем само публичните DNS записи. [email protected]
Откъде идват данните
- Публични DNS записи на домейна.
- Публични услуги за справка в DNS (dns.google и cloudflare-dns.com) за записите, които стандартната библиотека не може да поиска — подписа DNSSEC и отпечатъка DANE — и за проверката дали съществуват домейни, подобни на вашия: съставяме вероятните правописни варианти на домейна ви и питаме услугата дали са регистрирани. Не се свързваме нито с вас, нито с тях; ваши поддомейни не отгатваме.
- Публични дневници на издадените сертификати (Certificate Transparency).
- Shodan InternetDB — публична база за услуги, видими в интернет. Това са техни данни от тяхно обхождане, не наше сканиране.
- OSV — публична база за известни уязвимости, използвана само за софтуер, чиято версия сайтът сам оповестява.
- Собствените ви публични страници, прочетени като обикновен посетител.
- RansomLook (ransomlook.io) — публичен списък на публикации на групи за рансъмуер, данни под лиценз CC BY 4.0. Използва се за точно съвпадение на проверявания домейн, само в пълния доклад, и за една обща цифра за България.
Справките в чужди бази се правят по искане на самата фирма и на основание легитимен интерес (чл. 6, пар. 1, б. „е“ от ОРЗД; съображение 49 — сигурност на мрежите и информацията). Не се обработват данни за отделни лица — само бройки, месеци и адреси на системи на проверявания домейн. Резултатът се пази, докато е валидна връзката към доклада, и после се изтрива.
Ограничения и съхранение
Приемаме до 0 проверки на час от един адрес. Резултатът за даден домейн се пази 7 дни. Всяка проверка се записва с адрес, домейн, време и изход. Пълният доклад се изпраща само на служебен имейл на проверявания домейн; всички останали заявки минават през ръчно одобрение.
Домейни на държавни органи не проверяваме — такива заявки се отказват с обяснение. За банки и оператори на критична инфраструктура проверката се извършва по същия пасивен начин, но резултатът се показва като наблюдения, без индекс на изложеност, и носи изрична бележка.
Промени в правилата
Всяка промяна в правило или тежест, с дата. Сравненията важат само в рамките на една версия.
12.10.2026
правило · версия r2
Проверката за електронния подпис на пощата (DKIM) вече търси и имената, които самият доставчик публикува. Когато пощенските записи на домейна сочат разпознат доставчик – Proton Mail, Microsoft 365 или Google – освен обичайните имена се проверяват и неговите. Досега домейн с напълно редовен подпис при такъв доставчик можеше да получи „не открихме DKIM“.
12.10.2026
правило · версия r2
Отговорът на защита срещу автоматични посетители вече не се чете като отговор на самия сайт. Когато на стандартния адрес за сигнали за сигурност отговори такава защитна страница, проверката се отбелязва като непроверена, вместо да се твърди, че дружеството не публикува адрес за сигнали – досега дружество, което може и да публикува, получаваше обратното. Отговор от собствения сървър на дружеството, че такъв файл няма, се отчита както досега.
28.09.2026
правило · версия r2
Отворени услуги на споделен сървър вече не се броят за ваши. Когато адресът е на хостинг доставчик или на него отговарят и чужди сайтове, отворените там услуги се показват като информация – не като критична или висока констатация – и се казва защо. Всяка констатация за отворени услуги казва с едно изречение чий смятаме, че е адресът.
28.09.2026
правило · версия r2
Известен пропуск във версия, сглобена от Ubuntu, Debian, Red Hat и подобни, вече не се оценява по-високо от „средна“: тези доставчици поправят пропуски, без да сменят номера на версията, и това се казва в самата констатация. Същият пропуск не се брои втори път по данни на Shodan.
28.09.2026
правило · версия r2
Мек запис SPF („~all“) при действащ DMARC е информация, не „средна“, а „+all“ е „висока“. DMARC с „pct=0“ се чете като „p=none“. DANE се брои за действащ само при подписан домейн. Липсващи заглавки за сигурност, липсващ отпечатък на чужди скриптове и поддомейн, наречен само „mail“ или „portal“, са „ниска“.
28.09.2026
тежест · версия r2
Констатация, която е извод по косвен признак или чуждо наблюдение (например по данни на Shodan), тежи наполовина спрямо измерена. Индексът се смята върху всичко измерено, а не върху прегледаното от втория модел – затова една и съща фирма получава едно и също число при всяка проверка.
28.09.2026
метод · версия r2
Проверката за подобни домейни вече съставя вероятните правописни варианти на вашия домейн и пита публична услуга за справка в DNS дали са регистрирани; домейни на същите сървъри за имена и с общ сертификат с ваш се изключват като ваши. Проверката за изоставени препратки казва изрично кои услуги може да види само от DNS, а самата проверка отказва да се свързва с адреси, които не са публични.
21.09.2026
метод · версия r1
Въведено е сравнението с други български дружества. То ползва само най-леките проверки – публичните DNS записи, едно зареждане на началната страница, едно обикновено защитено свързване и файла security.txt – и се показва едва когато са измерени поне 30 дружества.
21.09.2026
тежест · версия r1
Публикувана е формулата на индекса: критична констатация 25, висока 15, средна 7, ниска 3, информация 0; всяка следваща констатация от същата категория и степен се брои наполовина; сборът се ограничава до 100.
Правната рамка
Измененията в Закона за киберсигурност (ЗКС), с които в България се въвежда директивата NIS2, са приети на 5 февруари 2026 г. и обнародвани в „Държавен вестник“, бр. 17 от 13 февруари 2026 г. Законът е в сила от обнародването. (ДВ бр. 17/2026; dv.parliament.bg)
В обхвата попадат средни и големи предприятия — с 50 или повече служители или с оборот над 10 млн. €, — които работят в секторите по Приложение 1 (10 сектора с висока критичност) или Приложение 2 (7 други критични сектора), както и административните и съдебните органи. Правилото за свързани и партньорски предприятия по ЗМСП не се прилага. (чл. 4 ЗКС)
Компетентен орган е Министерството на електронното управление (МЕУ). Регистърът на субектите не е публичен, промените се съобщават в двуседмичен срок, а МЕУ може да назначава целеви одити за сметка на проверявания субект и има законово правомощие да извършва „сканиране за сигурност“. (ЗКС; ISMS.bg; НСОРБ)
Този анализ не е правна консултация. Категорията е ориентировъчна. Тя се изчислява от сектора и размера, които посочихте, и от правилата на ЗКС. Окончателното определяне се извършва от Министерството на електронното управление.