Hodnocení technického řešení

Hodnocené weby se posuzují individuálně. Tento seznam je pouze základ a je tedy možné do hodnocení konkrétních webů přidat některá další kritéria a je potom na garantovi, aby s porotcem probral jejich váhu. Příkladem může být mobilní verze webu, na kterém se ihned po načtení začne načítat 20 MB video. Takové pravidlo v tomto seznamu není, ale dává smysl jej v hodnocení zohlednit.

Kritické problémy

0 bodů

Web dostává 0 bodů, pokud obsahuje alespoň jeden z uvedených problémů. Při nalezení je potřeba zvážit jejich závažnost. Pokud bude na dvou stránkách ze sta stejný titulek, tak není důvod o webu tvrdit, že má kritické problémy. To samé se týká tabulkového layoutu a značek FONT v kódu.

Pokud web obsahuje uvedenou technickou chybu, která by mohla vést k nějakému bezpečnostnímu problému, tak nezáleží na kolika místech a kde se vyskytuje. Neprovádíme bezpečnostní test, nehledáme bezpečnostní chyby, nebereme v potaz dopad těchto chyb, neurčujeme jejich závažnost. Weby nehackujeme, ani nezkoušíme, jakou zátěž servery vydrží. Hledáme pouze technické chyby, tedy například místa, kde vývojáři zapomněli při výpisu nahradit < za < nebo kde zobrazují neošetřené chybové hlášky programovacího jazyka. Pro hledání takových chyb nepoužíváme žádné automatizované skenovací nástroje. Použití jednoúčelových nástrojů pro zrychlení práce není vyloučeno.

zobrazení neošetřené chybové hlášky obsahující důležité systémové informace (Full Path Disclosure)
neošetřené uživatelem zadané znaky <, >, ", ' při výpisu (může vést k útoku Cross-Site Scripting)
špatně ošetřený uživatelský vstup při odesílání dotazů do databáze (riziko útoku SQL Injection)
Vložení místního nebo vzdáleného souboru (Local File Inclusion, Remote File Inclusion)
výstup z funkce phpinfo() (/info.php, /phpinfo.php, apod.)
Black hat SEO
Not Found stránka přesměrována na titulní stránku
všechny stránky mají stejný TITLE
tabulkový layout
tagy FONT v kódu
web přesměrovává na HTTPS, ale má certifikáty podepsané nedůvěryhodnou CA nebo neposílá intermediate certifikáty
přítomnost skriptu, přes který se dá posílat spam
heslo zaslané e-mailem, při registraci nebo zapomenutí
přihlašování přes HTTP (týká se uživatelů i příp. administračních rozhraní na "předvídatelných" adresách /admin a dalších)
možnost ze serveru získat zdrojové kódy nebo informace o nich (např. ze souboru /.git/HEAD, z výpisu adresářů apod.)
použití JavaScriptových knihoven se známými zranitelnostmi
web běží na volně dostupném redakčním systému (Wordpress aj. včetně doplňků) se známými zranitelnostmi

Prostor pro zlepšení

1 bod

Web dostává 1 bod, pokud neobsahuje nic z předchozího, ale obsahuje alespoň jeden z následujících problémů:

Not Found stránka neposílá HTTP stavový kód 404
všechny Not Found stránky jsou nepoužitelné (standardní stránky poskytované serverem)
nehezké URL
lze odeslat nevyplněné formuláře s vypnutým JS
WebPagetest Speed Index 9000 a více (pro první i další načtení)
chybějící, nenačtené obrázky na stránce

Bez velkých chyb a nedostatků

2 body

Web dostává 2 body, pokud neobsahuje nic z předchozího, ale obsahuje alespoň jeden z následujících problémů:

chybějící soubor robots.txt
nefunkční web bez www prefixu
session cookie bez příznaku HttpOnly (jiné cookie mohou být bez tohoto příznaku)
2 nebo méně bezpečnostních hlaviček¹
WebPagetest Speed Index 6000-8999 (pro první i další načtení)
stránky jsou dostupné pomocí HTTP, prohlížeč není přesměrován na HTTPS
některé Not Found nebo Forbidden (HTTP kódy 4xx) jsou standardní stránky poskytované serverem

Výborné řešení

3 body

Web dostává 3 body, pokud neobsahuje nic z předchozího, ale chybí mu něco z kategorie Skvěle a inspirativně řešeno.

Skvěle a inspirativně řešeno

4 body

Web dostává 4 body, pokud neobsahuje nic z předchozího a má navíc všechna následující vylepšení:

responzivní design (ne speciální mobilní verze)
4 nebo více bezpečnostních hlaviček¹
WebPagetest Speed Index 0-2999 (pro první i další načtení)
Potential Compressed Weight z Website Speed Testu nad 50 %

¹Bezpečnostními hlavičkami jsou myšleny následující HTTP hlavičky, testují se pomocí securityheaders.com: