Kontrola subdomén a expozice webu: co web prozrazuje navenek

Kontrola expozice webu zjistí, co o vašem webu a doméně vyčte kdokoli z veřejných zdrojů: kolik a jakých subdomén prozrazují logy certifikátů, záznamy DNS mířící na zrušené služby, tajné klíče v kódu stránek a domény s překlepem ve vašem jménu. WebMeter to ověří zdarma a pasivně, nic nezkouší prolomit.

Aktualizováno 28. 10. 2026

Co znamená expozice webu

Logy Certificate Transparency (CT)

Každý veřejně důvěryhodný certifikát HTTPS se zapisuje do veřejných logů. Chrome to vyžaduje u certifikátů vydaných po 30. dubnu 2018. V logu je i název subdomény, například test., db. nebo vpn., a přečíst si ho může kdokoli.

Visící záznamy DNS a převzetí subdomény

Visící záznam DNS je alias (CNAME) nebo delegace subdomény, která míří na službu či doménu, jež už neexistuje. Kdo si zrušenou službu znovu založí, převezme vaši subdoménu (anglicky subdomain takeover) a provozuje na ní vlastní obsah pod vaší adresou, i s platným HTTPS. Předejít tomu je jednoduché: záznam v DNS zrušit ve stejný den jako službu. Expiraci domény, DNSSEC a jmenné servery prověří kontrola domény a DNS.

Kód webu

HTML a JavaScript stahuje každý návštěvník. Co se do nich dostane, například klíč k placené službě, je veřejné. Cizí skripty a to, komu web posílá data, ukazuje průvodce třetí strany na webu.

Proč expozice webu záleží malé firmě

Automatizovaní roboti tyto zdroje průběžně pročítají a hledají snadné cíle, třeba zapomenutou testovací verzi webu. Nejde o cílený útok na vaši firmu, ale o hromadné procházení internetu.

Jestli se vaší firmy týká zákon o kybernetické bezpečnosti (NIS2) a co z něj plyne pro web, vysvětluje samostatný průvodce.

Časté problémy s expozicí webu

Časté nálezy, rizika a náprava
Nález	Riziko	Náprava
Zapomenutá testovací nebo stará verze webu na subdoméně	Roboti ji najdou v logech certifikátů, aktualizace často nedostává.	Nepoužívanou verzi vypnout, nebo k ní omezit přístup.
Správa databáze, vzdálená plocha nebo interní systém dostupné z internetu	Láká automatizované pokusy o přihlášení.	Přesunout za VPN nebo firewall.
Zrušený e-shop nebo cloudová služba, jejíž záznam CNAME zůstal v DNS	Převzetí subdomény: cizí obsah pod vaší adresou.	Záznam smazat, při rušení služby mazat i DNS.
Klíč platební brány, e-mailové nebo AI služby v JavaScriptu webu	Kdokoli ho může použít na účet firmy, třeba k platbám nebo rozesílání e-mailů.	Klíč zneplatnit a vydat nový, uložit ho jen na serveru.
Klíč Google API pro mapy bez omezení na doménu	Cizí web ho může používat na účet firmy.	Omezit klíč na doménu webu a jen na potřebná API.
Doména s překlepem ve vašem jménu s poštovním serverem	Podvodné faktury a e-maily, které vypadají, že jsou od vás.	Zvážit registraci hlavních variant, u podvodné domény kontaktovat registrátora.

Nápravu obvykle zadáte tomu, kdo vám spravuje web, hosting nebo DNS.

Kontrola subdomén: co zkontrolujeme

Kontrola je pasivní: WebMeter čte veřejné zdroje a to, co web sám posílá každému návštěvníkovi. Nic nezkouší prolomit.

Subdomény z CT logů (crt.sh, záložně Cert Spotter), jen z platných certifikátů. Podle názvu je zařadí do typů, jako databáze, vzdálená správa, interní administrace, ERP, pošta, vývoj a test. U nejvýš 25 jmen ověří v DNS, že stále existují. Zařazení je jen podle názvu a nepotvrzuje, že je služba z internetu dostupná. Veřejný report ukazuje jen počty podle typu, ne celé názvy.
Visící záznamy: alias (CNAME) na cíl, který v DNS neexistuje, a subdoménu svěřenou jmennému serveru na neexistující doméně. Hlásí je jen při jisté odpovědi DNS.
Tajné klíče v HTML úvodní stránky a v nejvýš 8 souborech JavaScriptu z vaší domény. Hledá jen klíče s pevným tvarem poskytovatele (například Stripe, AWS, GitHub, Slack, OpenAI nebo privátní klíč). Klíč nikdy nepoužije ani neuloží, report ukazuje jen jeho zamaskovaný začátek.
Podobné domény: až 40 variant (jiná koncovka, překlep, podobně vypadající znak), jen dotazy DNS. Domény se stejnými jmennými servery nebo adresou jako vaše nepočítá.

WebMeter není penetrační test ani skener zranitelností: nezkouší hesla ani známé chyby, nevyplňuje formuláře a neskenuje porty. Kontroly z webmeter.eu nezkoušejí adresy administrace a nehledají na serveru soubory jako .git nebo .env. Na subdomény ani na podobné domény se nepřipojuje, takže nevidí, co na nich běží. Zastaralé verze redakčního systému a PHP hodnotí kontrola CMS, WordPressu a PHP.

Jak výsledek vypadá v reportu, ukazuje ukázka reportu v oblasti Expozice.

Kontrola expozice webu zdarma

Zadejte doménu a uvidíte, co o vašem webu prozrazují veřejné zdroje, spolu s dalšími oblastmi webu.

Změřit web →

Nevíte si s výsledkem rady? Nabízíme nezávaznou konzultaci, stačí napsat na kontakt@webmeter.eu.

Tvorba webu, který neprozrazuje víc, než má

Starý web za sebou často nechává testovací subdomény, zapomenuté záznamy DNS a klíče v kódu stránek. Nový web postavíme od základu bez nich, s nastaveným zabezpečením e-mailu a domény. Před předáním ho projdeme stejnou kontrolou jako tady.

Jak probíhá tvorba webu → Případová studie: ze 73 na 97 bodů →

Časté otázky k expozici webu

Je to kontrola zranitelnosti webu nebo penetrační test?

Ne. WebMeter jen pasivně čte, co je o webu veřejně dostupné, a nic nezkouší prolomit. Penetrační test dělá specialista se souhlasem majitele a aktivně zkouší, co se dá zneužít. Výsledek WebMeteru proto neříká, že web nemá zranitelnosti.

Jak najít všechny subdomény své domény?

Úplný seznam má správce DNS vaší domény v nastavení zóny. Subdomény s veřejným certifikátem HTTPS navíc stojí ve veřejných logech Certificate Transparency, které může číst kdokoli. Z nich je zná i WebMeter a v DNS ověří, které stále existují. Veřejný report ukazuje jen počty podle typu.

Ukládá WebMeter nalezené tajné klíče?

Ne. Celá hodnota je jen chvíli v paměti během kontroly. Report uvádí typ klíče a jeho zamaskovaný začátek a klíč se nikdy nezkouší použít. Nalezený klíč berte jako vyzrazený, protože si ho z kódu stránky mohl přečíst kdokoli: je potřeba ho u poskytovatele zneplatnit a vydat nový.

Může někdo posílat podvodné e-maily z domény podobné té mé?

Ano. Doménu s překlepem nebo jinou koncovkou zaregistruje kdokoli a zřídí na ní poštovní server. WebMeter prověří až 40 variant a uvede ty, které nejspíš nepatří vám, i to, zda mají poštovní server. Často je ale legitimně drží jiná firma. Kontrola SPF, DKIM a DMARC ověří záznamy, které brání podvržení přímo vaší domény.

Další oblasti kontroly

Jak se kontrola chová k vašemu webu, popisuje stránka o robotovi WebMeterBot; co se ukládá a jak dlouho, najdete v zásadách zpracování dat.