Metodika hodnocení webu: jak WebMeter počítá skóre a známku A–F

Co měříme a odkud jsou data

WebMeter hodnotí web v 15 oblastech. Vlastní skóre 0–100 mají všechny kromě dvou: Kybernetická hygiena (NIS2) a Třetí strany jsou přehledy bez skóre. Otázky, na které oblasti odpovídají, najdete na stránce Co kontrolujeme. Průběh kontroly ve třech krocích popisuje stránka Jak to funguje.

Měření pracuje jen s veřejně dostupnými údaji:

• Web samotný. Soubor robots.txt, úvodní stránka a její HTTP hlavičky, nejvýše 30 dalších veřejných stránek z menu a ze sitemapy, nejvýše 8 souborů JavaScriptu, které načítá úvodní stránka, a soubory jako sitemap.xml nebo security.txt. K tomu spojení TLS kvůli certifikátu a podporovaným verzím TLS.
• Prohlížeč. Úvodní stránku jednou vykreslí Chromium na serveru v EU v českém nastavení (jazyk cs-CZ, časová zóna Europe/Prague). Na cookie lištu nikdy neklikne. Ve vykreslené stránce běží test přístupnosti axe-core podle WCAG 2.2, úrovně A a AA.
• DNS. Veřejné záznamy domény: SPF, DMARC, obvyklé selektory DKIM, MX, MTA-STS, DANE, BIMI, CAA, DNSSEC, jmenné servery a IPv6. Dotazy jdou přes DNS over HTTPS od Googlu, rozbitý DNSSEC potvrzuje druhý resolver od Cloudflare. Dotazem do DNS se ověřují i podobně znějící domény.
• Google PageSpeed Insights. Rychlost na mobilu ze tří laboratorních běhů Lighthouse. Web přitom načítá Google ze své infrastruktury.
• Veřejné registry a služby. RDAP registru domény (konec registrace), veřejné logy certifikátů crt.sh a záložně Cert Spotter (subdomény), RIPEstat (RPKI), ARES (ověření IČO, které web uvádí), seznam HSTS preload a stav zneplatnění certifikátu u jeho vydavatele.
• Tabulky uložené v aplikaci. Konce podpory softwaru, stav verzí WordPressu a katalog zneužívaných zranitelností CISA KEV. Jsou to snímky, během měření se nestahují.

WebMeter se nepřihlašuje, nezkouší hesla ani zranitelnosti a nevyplňuje formuláře. Jak se k webu chová, popisuje stránka Robot WebMeterBot.

Report uvádí i orientační známky podle veřejných metodik SSL Labs a Mozilla HTTP Observatory. Nejsou to oficiální výsledky těchto služeb a do skóre se nepočítají.

Jak vzniká skóre oblasti

Každá oblast začíná na 100 bodech. Za každý nález se odečtou body podle jeho závažnosti:

Od čtvrtého nálezu stejné závažnosti v jedné oblasti se odečítá jen polovina. Řada drobností tak oblast nesrazí na nulu. Skóre oblasti nikdy neklesne pod 0. Model vychází z metodiky Mozilla HTTP Observatory.

Příklad: dva střední a jeden nízký nález dají 100 − 8 − 8 − 3 = 81 bodů. Pět středních nálezů dá 100 − 3 × 8 − 2 × 4 = 68 bodů.

SEO: součet šesti pilířů

Oblast SEO se počítá jinak. Skóre je součet šesti pilířů: indexace 25 bodů, titulky a popisky 25, obsah a struktura 15, strukturovaná data 15, sdílení 10 a technika 10. Body se přidělují podle podílu posouzených obsahových stránek. Nálezy SEO vysvětlují, co chybí, ale body neodečítají. Podrobnosti najdete v průvodci SEO kontrola webu.

Rychlost: jen laboratorní data

Skóre rychlosti vychází z mediánu tří laboratorních běhů Lighthouse na mobilu. Hodnotí se například LCP, TBT (laboratorní náhrada INP), CLS a odezva serveru. Data od skutečných návštěvníků (CrUX) report ukáže zvlášť a do skóre nevstupují. Stejně se tak měří i weby, pro které Google tato data nemá.

Celkové skóre a známka A–F

Celkové skóre je vážený průměr skóre oblastí. Váhy dávají dohromady 100:

Informativní oblasti report hodnotí a ukazuje jejich skóre. Do celkového skóre nevstupují.

Příklad výpočtu (zjednodušený, fiktivní web)

Příspěvek oblasti je skóre × váha / 100. Kdyby webu vypršel certifikát (kritický nález, −40 bodů v oblasti HTTPS a certifikát), klesl by vážený průměr na 75,74. Strop pro kritický nález ho pak sníží na 74, tedy na známku C.

Ze skóre vznikne známka a barva:

Známka E se nepoužívá. Skóre se zobrazuje jako celé číslo zaokrouhlené dolů, aby vždy odpovídalo známce: 89,6 bodu je 89 a známka B.

Jak vypadají skóre, známka a stropy v hotovém reportu, uvidíte v ukázce reportu.

Stropy: kdy skóre nemůže být vysoké

Některé nálezy jsou tak vážné, že by je průměr zakryl. Proto platí stropy. Strop skóre jen snižuje, nikdy ho nezvedá. Když platí víc stropů najednou, rozhoduje nejnižší. Report u omezené oblasti uvede důvod.

• Kritický nález v kterékoli oblasti: celkové skóre nejvýše 74, tedy nejvýše známka C a žlutá barva. Kritické jsou například web mimo index vyhledávačů, vypršelý, nedůvěryhodný nebo zneplatněný certifikát, server jen se zastaralým TLS 1.0 nebo 1.1, doména po konci registrace, doména bez SPF i DMARC nebo živý tajný klíč platební nebo cloudové služby v kódu webu.
• CMS a technologie: software pravděpodobně bez bezpečnostních oprav omezí oblast na 59 bodů při vysoké nebo kritické závažnosti a na 74 bodů při střední.
• SPF, DKIM, DMARC: když DMARC chybí, je zapsaný dvakrát nebo se neuplatní, má oblast nejvýše 74 bodů.
• Bezpečnostní hlavičky: když chybí zároveň HSTS, účinná CSP i ochrana proti vložení stránky do rámu, má oblast nejvýše 39 bodů.
• SEO: úvodní stránka mimo index (noindex, zákaz pro Googlebot nebo SeznamBot v robots.txt, canonical na cizí doménu) znamená nejvýše 20 bodů. Když na polovině a více obsahových stránek chybí nebo se opakují titulky i popisky, je strop 59 bodů, když jen titulky nebo jen popisky, 74 bodů. Tyto dva stropy platí až od tří posouzených obsahových stránek.
• AI vyhledávače a Vyhledávače mimo Google: nález vysoké nebo kritické závažnosti omezí oblast na 74 bodů. Celkové skóre to neovlivní, protože jde o informativní oblasti.

Když se něco nepodaří změřit

Občas některá oblast neproběhne, třeba když PageSpeed Insights neodpoví. Chybějící oblast se z průměru nevypouští, skóre by tím mohlo uměle vyrůst. Počítá se jako 50 bodů, nebo jako průměr změřených oblastí, když je nižší.

Oblast změřená jen zčásti, například rychlost jen z jednoho běhu, váží polovinou. Zbytek její váhy se počítá jako neměřený. Výjimkou je výpadek volitelné cizí služby, třeba logů certifikátů. Data webu tím nechybí, proto výpadek skóre neposouvá a report ho jen uvede.

Když není změřeno všechno, je známka předběžná. Report pak uvede rozpětí známek, kam by skóre spadlo, kdyby neměřená část vyšla na 0, nebo na 100 bodů. Uvádí také pokrytí, tedy podíl změřené váhy. Od 90 % je důvěra ve výsledek plná, od 70 % snížená, pod 70 % nízká.

Co znamená závažnost nálezu

Závažnost určují pevná pravidla pro každý druh nálezu. Stejný stav webu dá vždy stejnou závažnost. Report řadí nálezy od nejzávažnějších.

• Kritická: vážná vada, která se týká celého webu, domény nebo pošty. Například web, který vyhledávače nesmějí zobrazit, nebo certifikát, kterému prohlížeče nevěří. Odečte 40 bodů a navíc platí strop celkového skóre 74.
• Vysoká: nedostatek, který může umožnit zneužití webu nebo pošty, nebo výrazně škodí návštěvníkům či viditelnosti ve vyhledávání. Odečte 20 bodů.
• Střední: nedostatek, který stojí za to vyřešit v dohledné době. Odečte 8 bodů.
• Nízká: drobnost nebo odchylka od doporučené praxe. Odečte 3 body.
• Info: informace bez vlivu na skóre. Kontext, stav, který zvenku nejde ověřit, nebo nepovinný standard.

Když nález stojí jen na nepřímé stopě, například na odhadu verze softwaru, je jeho závažnost záměrně nižší. Rizika v reportu jsou možné důsledky zjištěného stavu, ne potvrzený incident.

Co měření neumí

• Není to penetrační test. Kontrola zvenku neodhalí chyby uvnitř aplikace, slabá hesla ani stav serveru. Dobré skóre proto nedokládá bezpečnost webu ani soulad s předpisy.
• Neměří pozice ve vyhledávání ani PageRank. Nevidí ani zpětné odkazy a návštěvnost. Skutečné pozice ukáže Google Search Console nebo Seznam Webmaster.
• Nevidí obsah za přihlášením. Ani administraci, zákaznickou zónu nebo cesty, které robots.txt zakazuje.
• Nevidí, co web načte po souhlasu s cookies. Prohlížeč na lištu nikdy neklikne. Hodnotí stav, který návštěvník vidí, než cokoli zvolí.
• Rychlost je laboratorní. Lighthouse simuluje mobil se zpomaleným připojením. Skuteční návštěvníci mohou mít zkušenost lepší i horší. Data CrUX má Google jen u webů s dostatečnou návštěvností.
• Neprochází celý web. Měří úvodní stránku a vzorek dalších veřejných stránek.
• Některé údaje jsou odhad. Verze softwaru se odhaduje z veřejné stopy. DKIM s neobvyklým selektorem WebMeter nemusí najít, a proto ho označí za neověřený, ne za chybějící.
• Automatický test přístupnosti pokryje jen část WCAG. Nedokládá, že je web přístupný.
• Není to právní posudek. U cookies a firemních údajů ukazuje, co je vidět zvenku. Soulad se zákonem neposuzuje.
• Je to snímek. Výsledek platí pro okamžik měření.

Nezávislost a verze metodiky

• WebMeter je zdarma, bez registrace a bez reklam.
• Skóre počítá program podle pravidel na této stránce, pro všechny weby stejně. Stejná data dají stejné skóre. Ruční hodnocení do výpočtu nevstupuje.
• Report neobsahuje reklamu ani nabídku služeb. Pod výsledkem na webu se podle výsledku může objevit odkaz na služby provozovatele. Na skóre to nemá vliv.
• Report hodnotí. U nálezu stručně uvede, čeho se týká a kdo ho obvykle řeší. Hotový kód, konfigurace ani návody krok za krokem neobsahuje.
• Při srovnání s konkurencí se všechny weby měří stejnou metodikou a porovnávají se jen skóre ze stejné hlavní verze.

Verze metodiky

Aktuální verze je 3.0.0 (Měření 3.0, říjen 2026). Každý report uvádí verzi, podle které vznikl. Změnu výpočtu označí nové číslo verze a popíšeme ji na této stránce. Skóre z verzí 2.x a 3.x spolu přímo nesrovnáváme.

• 3.0.0 (říjen 2026): SEO se počítá ze šesti pilířů, přibyly stropy oblastí a u řady nálezů se upřesnila závažnost. Váhy oblastí, body za závažnost a hranice známek se nezměnily.

Časté otázky k výpočtu skóre

Kdo za WebMeterem stojí

WebMeter je služba ON Consulting & Advisory. Metodiku navrhuje a udržuje provozovatel. Opírá se o veřejné standardy a dokumentaci, například RFC 9309 pro robots.txt, RFC 7208 pro SPF, WCAG 2.2, prahy Core Web Vitals od Googlu a dokumentaci vyhledávačů. Model odečtů vychází z bodování Mozilla HTTP Observatory, orientační známka podle SSL Labs z jejich SSL Server Rating Guide a tabulka zneužívaných zranitelností z katalogu CISA KEV.

Údaje o provozovateli najdete v zásadách zpracování dat. Dotazy k metodice nebo upozornění na chybu měření posílejte na kontakt@webmeter.eu.