Jak Vibescan funguje
Spousta lidí dnes staví aplikace přes "vibe coding" — píšeš AI co chceš a ono to napíše za tebe. Je to skvělý způsob, jak rychle prototypovat. Problém je, že AI často zapomíná na bezpečnost. A ty nevíš, co ti chybí, protože jsi to nikdy nemusel řešit.
Vibescan ti dá rychlý přehled o tom, co je viditelné zvenčí — bez nutnosti přístupu ke kódu.
- Pasivní audit veřejně dostupných informací
- Kontrola HTTP hlaviček, SSL, DNS a HTML
- Hluboký sken výkonu a přístupnosti (Lighthouse)
- Konkrétní skóre a návody na opravu
- Sdílitelný odkaz na výsledky
- Nejedná se o penetrační test
- Nekontrolujeme zdrojový kód aplikace
- Netestujeme SQL injection, XSS ani IDOR
- Nezaručujeme 100% bezpečnost
Hluboký sken přes Lighthouse
Vedle rychlého pasivního auditu spouští Vibescan i hluboký sken postavený na nástroji Lighthouse od Googlu. Lighthouse otevírá tvůj web v reálném Chromiu a měří věci, které pasivní skener nezvládne.
- · Výkon — LCP, CLS, TBT, Speed Index
- · Přístupnost — kontrasty, ARIA, hierarchie nadpisů
- · Best practices — zranitelné JS knihovny, CSP, mixed content
- · Hlubší SEO — canonical, hreflang, robots.txt
- · Běží paralelně s rychlým skenem (~30 s navíc)
- · Výsledky se po dokončení samy doplní bez refreshe
- · Vibe skóre se přepočítá podle nových nálezů
- · Obecné nálezy nahradí přesnější Lighthouse zjištění
Lighthouse běží lokálně na našem serveru (Apache 2.0 licence) — URL tvého webu neodchází k Googlu. Pokud při skenu Lighthouse selže nebo vyprší limit, hlavní výsledky tím neztratíš a můžeš ho zkusit znovu.
V čem se lišíme od ostatních skenerů
Většinu věcí, které Vibescan kontroluje, umí i jiné veřejně dostupné nástroje. Každý se ale obvykle zaměřuje na jednu konkrétní oblast a výsledky jsou v angličtině, technickým jazykem, bez konkrétního návrhu řešení.
- securityheaders.com HTTP bezpečnostní hlavičky (CSP, HSTS, X-Frame-Options)
- ssllabs.com/ssltest Kvalita SSL/TLS konfigurace a certifikátu
- observatory.mozilla.org Bezpečnostní audit od Mozilly (hlavičky, cookies, TLS)
- hardenize.com Komplexní kontrola hlaviček, TLS, DNS, e-mailových záznamů
- dnschecker.org DNS záznamy (SPF, DKIM, DMARC, MX)
- hstspreload.org Kontrola HSTS preload listu
- builtwith.com Detekce použitých technologií a frameworků
- pagespeed.web.dev Google PageSpeed Insights — výkon, přístupnost, SEO (využívá Lighthouse, stejně jako náš hluboký sken)
Místo abys obíhal sedm různých webů, projel jich kvůli tobě dvanáct najednou. Jeden URL, jedno skóre, jeden sdílitelný odkaz pro klienta nebo tým.
U každého nálezu máš česky vysvětlené, proč je to problém, a konkrétní příklad konfigurace (Nginx, Apache, Django…), který stačí zkopírovat do projektu.
Vibescan je externí skener bez přístupu ke kódu. Jeho úkolem je upozornit na potenciální rizika, ne tvrdit, že každý nález je reálný problém. Když používáme heuristiku na detekci například technologie podle hlaviček, můžeme se splést.
Proto si stáhni TXT export pro AI a vlož ho do nástroje, se kterým aplikaci vyvíjíš (Claude Code, Cursor, Copilot). AI zná tvůj kód a sama ti řekne: „Tenhle nález ignoruj, používáme jinou knihovnu" nebo „Tohle opravdu chybí, opravím to." Zafiltruje šum a soustředí se na to, co je v tvém kontextu skutečně relevantní.
Co konkrétně kontrolujeme
-
·
.env — proměnné prostředí (hesla, API klíče, DB credentials) -
·
.env.backup — záloha .env se stejnými secrets -
·
.git/config — konfigurace git repozitáře (umožňuje stáhnout zdrojový kód) -
·
.DS_Store — macOS metadata prozrazující strukturu adresářů -
·
phpinfo.php — verze PHP, cesty, rozšíření, konfigurace serveru -
·
server-status — Apache status page s aktivními requesty a IP klientů -
·
wp-config.php.bak — záloha WordPress konfigurace s DB přístupy -
·
.svn/entries — SVN metadata umožňující stáhnout zdrojový kód
Tyto soubory chystáme kontrolovat pro ověřené weby — podívejte se na roadmapu.
- · Databáze: OSV.dev (osv.dev) — open-source agregátor zranitelností provozovaný Googlem
- · Zdroje dat: NVD (NIST), GitHub Security Advisories, PyPI Advisory, npm Advisory, RustSec, Go Vulnerability Database a další
- · Ekosystémy: PyPI (Python), npm (Node.js), Packagist (PHP) — další plánujeme
- · API: OSV.dev querybatch endpoint — jeden hromadný dotaz na všechny závislosti najednou
- · Závažnost: CVSS v3 skóre — Critical (≥9.0), High (≥7.0), Medium (≥4.0), Low (<4.0)
- · Aktuálnost: OSV.dev se aktualizuje průběžně, ale u některých CVE může být zpoždění — datum poslední aktualizace zobrazujeme u výsledků
- · Omezení: kontrolujeme pouze přímé závislosti s uvedenou verzí — tranzitivní závislosti (sub-dependencies) nezachytíme
Našli jsme zranitelné balíčky? Podívejte se do průvodce opravami pro konkrétní kroky jak je aktualizovat.
Co bys měl zkontrolovat sám
Vibescan kontroluje jen to, co je viditelné zvenčí. Následující věci musíš ověřit ve svém kódu. Pokud stavíš s AI (Claude Code, Cursor, Copilot), řekni mu ať to zkontroluje — ale pak to ověř sám.
Validace vstupů
Autentizace a autorizace
API bezpečnost
Secrets a konfigurace
HTTP a transport
Automatizované kontroly
Po každé větší implementaci commitni a pushni kód, aby proběhly automatizované kontroly (Snyk, Semgrep). Pak teprve pokračuj na další část. Měj minimálně dvě větve — development a main. Před commitem vždy spusť build a ověř, že vše funguje.