Как понять, что сервер небезопасный

Признаки небезопасного сервера:

1. Отсутствие HTTPS - передача данных в открытом виде. Проверяется по http:// в URL вместо https://.

2. Устаревшие протоколы/алгоритмы - поддержка SSL 3.0, TLS 1.0, слабые шифры (RC4, DES).

3. Неправильные сертификаты - самоподписанные, просроченные или не соответствующие домену.

4. Уязвимые заголовки - отсутствие Security Headers:

response.setHeader("X-XSS-Protection", "1; mode=block");
response.setHeader("Content-Security-Policy", "default-src 'self'");

5. Открытые порты - ненужные сервисы (Telnet, FTP) доступны извне.

6. Отсутствие rate-limiting - позволяет DoS-атаки.

7. Устаревшее ПО - сервер работает на Apache 2.2, Java 6 и т.д.

Проверить можно инструментами типа:

• SSL Labs (testssl.sh)
• Nmap
• OWASP ZAP
• Burp Suite