Web Check

Web Check (Lissy93/web-check) - инструмент, который собирает открытую информацию о сайте. Вводите домен, и приложение параллельно запускает несколько десятков проверок, раскладывая результат по карточкам единого дашборда: какой сервер и где стоит, как настроены SSL и DNS, что в HTTP-заголовках, какие технологии использует сайт, что с безопасностью и репутацией. То, на что обычно уходит обход десятка разных онлайн-сервисов, тут собрано в одном окне за один запрос.

Набор проверок широкий: IP и геолокация сервера, цепочка SSL и наборы шифров, TLS-конфигурация (по Mozilla Observatory), DNS-записи и DNSSEC, почтовая конфигурация (SPF, DKIM, DMARC, BIMI), HTTP-заголовки и security-флаги (CSP, HSTS, X-Frame-Options), детект WAF/файрвола, открытые порты, traceroute, технологический стек (по отпечаткам Wappalyzer), карта страниц и robots.txt, история в Web Archive, проверка по блок-листам и базам фишинга, скриншот, Lighthouse-метрики, углеродный след. Применяется и при пентесте (быстрая разведка цели), и в защите (посмотреть, что ваш домен светит наружу).

Есть и публичный демо-инстанс web-check.xyz - удобно попробовать, но автор пишет, что из-за трафика хостинг обходится примерно в $25/мес, и публичная версия упирается в лимиты. Свой инстанс снимает и лимиты, и вопрос приватности.

Фронтенд - React, собранный через Astro и Vite, стили на SCSS. Бэкенд - Node.js: каждая проверка это отдельный обработчик в каталоге /api, который дергает внешние источники и отдает JSON. Запускать можно двумя способами: как постоянный сервер (server.js в Docker или из исходников) либо как serverless-функции на Netlify, Vercel или Fly.io. Своей базы данных нет - приложение stateless, ничего не хранит между запросами, поэтому и бэкапить нечего.

Часть проверок опирается на внешние утилиты в контейнере: chromium (скриншот и Lighthouse), traceroute, DNS-утилиты. Если их нет в окружении, соответствующие проверки просто пропускаются. Лицензия MIT.

1. Создать VM

   тариф CPU2-RAM4-DISK50, Ubuntu 24.04, приложение Docker из маркетплейса.

2. Запустить контейнер

   docker run -d --name web-check --restart unless-stopped \
     -p 127.0.0.1:3000:3000 lissy93/web-check

   Образ есть на Docker Hub и GHCR. По умолчанию никакой конфигурации не нужно - сразу рабочий дашборд на порту 3000.

3. Закрыть авторизацией

   Порт слушаем только на 127.0.0.1 и выставляем наружу через обратный прокси с паролем - у web-check нет своей аутентификации (подробнее в разделе про подводные камни).

https://ваш-домен/check/github.com

Web Check - инструмент разведки. Проверяйте только свои домены или те, на которые есть разрешение: часть проверок (открытые порты, traceroute) делает активные запросы к цели. Доступ закрывайте авторизацией, наружу не выставляйте без пароля.

Приложение stateless - постоянных данных нет, бэкапить нечего. Обновление - подтянуть свежий образ и пересоздать контейнер:

docker pull lissy93/web-check:latest
docker rm -f web-check
docker run -d --name web-check --restart unless-stopped \
  -p 127.0.0.1:3000:3000 lissy93/web-check

• SpiderFoot - стоит на этом же сервере. Web Check дает быстрый снимок по одному домену, SpiderFoot - глубокую разведку по сущностям (поддомены, утечки, связанные аккаунты). Хорошо дополняют друг друга.
• Обратный прокси - Nginx или Caddy для TLS и авторизации (у нас nginx + basic auth).
• Мониторинг доступности - Uptime Kuma, если нужно следить, что сам инстанс жив.