Как получихме тези числа

Откъде е списъкът

Взехме 1028 български бизнес домейна от OpenStreetMap - хотели, къщи за гости, дентални кабинети и адвокатски кантори. Това не е случайна извадка от българския уеб: това са малки и средни фирми с физически адрес, тоест точно тези, за които е услугата. Изводите важат за тази група, а не непременно за всички останали.

Какво точно направихме с всеки сайт

Пасивна проверка само за четене, на 27 август 2026 г., на това, което всеки посетител и без това вижда. По-малко от десет заявки на сайт - колкото да отворите две страници в браузър.

• HTTP отговора, веригата от пренасочвания и дали HTTPS работи
• TLS сертификата, издателя, срока на валидност и датата на изтичане
• HTTP headers на отговора, включително security headers и версиите, обявени в тях
• cookie флаговете на началната страница
• дали има robots.txt, sitemap и favicon
• времето до първи отговор и размера на страницата

Какво никога не сме правили

Никакви опити за вход, никакво отгатване на пароли, никакво инжектиране или fuzzing, никакво използване на уязвимости, никакво сканиране на портове, никакво агресивно обхождане. Активно тестване за сигурност правим само срещу системи, чийто собственик го е разрешил писмено. Това правило не е любезност - то е разликата между проверка на състоянието и атака.

Как се разпознават версиите

От това, което сайтът сам публикува за себе си: HTTP headers като Server и X-Powered-By, както и публичният код на страницата - meta generator, пътища до файлове и сигнатури на скриптове, чрез отворения набор от разпознавания на Wappalyzer. Никога не гледаме в нещо, което не се сервира публично.

Това си има граници. Един сайт може да скрие или да обяви невярна версия, а разпознаването може да сгреши. Откритата версия е основание, не сигурност.

Как се определя краят на поддръжката

От endoflife.date - публичният запис кога всяка линия е спряла да получава поддръжка. „PHP 7.4 спря да получава обновявания за сигурност на 28 ноември 2022 г.“ е публикувана дата, която всеки може да провери, а не наше мнение.

Едно изключение обработваме съзнателно: WordPress, Drupal и Joomla пренасят поправките по сигурността и към стари линии, така че там краят на живота означава край на новите функции, а не край на поправките. За тези не твърдим, че са без поддръжка.

Как се съпоставят CVE и какво значи критично

Откритият продукт и версия се съпоставят с американската National Vulnerability Database. Оценката за сериозност е тази, която NVD публикува по CVSS - не поставяме собствени оценки и не ги преправяме, за да звучат по-страшно.

Важната уговорка: съвпадението по версия не доказва, че сайтът може да бъде атакуван. Дистрибуциите редовно пренасят поправките, без да сменят номера на версията, а българският споделен хостинг много често работи точно с дистрибуционни пакети. Затова вярното твърдение е, че има докладвани уязвимости срещу тази версия, и само това твърдим. Да се потвърди дали конкретен сайт е засегнат, изисква тестване, а тестването изисква разрешение от собственика.

Числата и какво е изключено

От 1028 домейна:

• 900 отговориха и бяха оценени
• 122 изобщо не се резолват - в OpenStreetMap има и закрити фирми
• 6 са регистрирани, но сървърът не отговаря
• 24 блокираха автоматичната ни заявка и бяха изключени от оценяването, защото блокирана проверка не е измерване
• средна оценка при 876-те оценени сайта: 73 от 100
• 146 сайта, или 16% от достъпните, имаха поне една докладвана уязвимост срещу открита версия; при 133 от тях поне една е с висока или критична оценка
• 75 сайта работят с поне един компонент след края на поддръжката, най-често PHP 7.4

Какво би променило тези числа

Това е един момент във времето, върху един списък, с разпознаване, което може да бъде подведено. Сайтовете, които блокират автоматични заявки, липсват, а това накланя извадката към сайтове, които се държат нормално. Премерваме отново с разрастването на списъка и ако някое число се промени, сменяме него, а не запазваме по-впечатляващата версия.