Как проверить сайт на подлинность и надёжность — инструкция для новичка

Что значит проверить сайт на подлинность и надёжность

Это две разные проверки. Подлинность отвечает на вопрос, тот ли это сайт, за который он себя выдаёт. Надёжность показывает, честен ли владелец и в безопасности ли ваши данные.

Возьмём пример: example-shop.com — настоящий магазин, а example-shop.ru его копирует. Оформление и товары совпадают, но домен, то есть адрес сайта, другой и принадлежит другому человеку. Дату его регистрации покажет команда whois example-shop.ru. Хостинг — это сервер, на котором лежат файлы сайта (что такое хостинг). Домен и хостинг покупают отдельно, поэтому полезно понимать, чем домен отличается от хостинга: по домену видно, кто и когда его зарегистрировал, по хостингу — где сайт физически работает.

Полная проверка занимает около 10 минут: 7 шагов, примерно 1–2 минуты на шаг. Замок HTTPS (защищённое соединение, порт 443) показывает только шифрование канала, но не честность владельца. Бесплатный сертификат действует 90 дней и доступен любому владельцу домена, поэтому его наличие мало о чём говорит.

Проверка нужна в первую очередь там, где вы отдаёте деньги или личные данные:

• интернет-магазины, особенно с предоплатой;
• банки и онлайн-кабинеты кредитных организаций;
• сервисы с оплатой картой или подпиской;
• сайты, которые просят паспорт, телефон или код из СМС.

Как работает мошенничество на сайтах и что подделывают

Мошенники копируют то, чему вы уже доверяете: банк, магазин, службу доставки. Цель одна: получить пароль или данные карты на чужой странице. Домен обычно стоит недорого, поэтому поддельный сайт собирают за вечер и так же быстро бросают.

Адрес подделывают одной буквой: rn вместо m, 0 вместо o. В нашем примере example-shop.ru копирует настоящий example-shop.com, а глаз читает привычное имя. Как устроены зоны, помогут понять материалы про домен верхнего уровня и зону .com.

Замок HTTPS (HyperText Transfer Protocol Secure) и порт 443 не гарантируют честность владельца: они показывают только шифрование канала. Бесплатный сертификат уровня DV (Domain Validation), например от Let’s Encrypt, действует 90 дней и выдаётся любому владельцу домена, в том числе мошеннику. Что проверяет сертификат на самом деле, объясняет статья, как разобраться в сертификате сайта.

Чаще всего встречаются пять схем:

• Фишинг: письмо или сообщение ведёт на страницу-двойник, которая забирает логин, пароль или код из СМС.
• Копия популярного сервиса: повторяет дизайн магазина или банка до мелочей.
• Сайт-однодневка: берёт оплату за несуществующий товар и пропадает через несколько дней или недель.
• Подмена контента: на взломанном настоящем сайте меняют реквизиты или ссылки.
• Вредоносная загрузка: «обновление» или «программа» оказывается вирусом, например файлом .exe.

Как проверить сайт на подлинность и надёжность по шагам

Проверку удобно показать на вымышленном магазине example-shop.ru, который копирует настоящий example-shop.com. Полная проверка занимает около 10 минут: 7 шагов, примерно 1–2 минуты на каждый. Один шаг ничего не доказывает, надёжность показывает совокупность результатов.

Идите по порядку и записывайте находки. Если сомневаетесь, стоит ли открывать страницу на своём устройстве, посмотрите, как открыть сайт через онлайн-сервис. Команды ниже запускайте в терминале, а на Windows — в командной строке.

Выполните семь шагов в таком порядке:

1. Сверьте адрес по буквам. Подмена часто строится на одной букве: rn вместо m или 0 вместо o. Откройте сайт через поисковую выдачу, а не по ссылке из письма или мессенджера.
2. Посмотрите сертификат. Нажмите на значок замка рядом с адресом и откройте сведения: проверьте, кому выдан сертификат и до какой даты действует. Замок означает только шифрование канала по HTTPS (порт 443). Бесплатные сертификаты уровня DV, например Let’s Encrypt, действуют 90 дней и выдаются любому владельцу домена.
3. Узнайте возраст домена. Выполните whois example-shop.ru и найдите дату регистрации. Домен моложе 6 месяцев — повод присмотреться, но не доказательство обмана. Заодно проверьте домен на занятость и посмотрите, кто им владеет.
4. Проверьте владельца. На сайте должны быть название организации, ОГРН (основной государственный регистрационный номер), юридический адрес и телефон. Сверьте реквизиты в открытом реестре налоговой службы и позвоните по указанному номеру.
5. Определите хостинг. Выполните nslookup example-shop.ru: команда покажет IP-адрес из DNS-записей (системы доменных имён). Затем проверьте IP-адрес сайта и узнайте хостинг сайта: у копии часто другая страна и другой провайдер, чем у оригинала.
6. Проверьте адрес в Google Safe Browsing. Сервис находит известные вредоносные и фишинговые сайты. Чистый результат не гарантирует честность: новый мошеннический сайт в базу ещё мог не попасть.
7. Найдите отзывы вне самого сайта. Введите в поиск example-shop.ru отзывы и откройте форумы и независимые площадки. Насторожитесь, если все отзывы только восторженные и написаны одинаковыми словами.

Если после этих шагов остались вопросы про серверы и инфраструктуру, найдите ответы на вопросы о VPS и хостинге.

Какие признаки показывают, что сайту нельзя доверять

Один признак ещё не доказывает обман, но набор признаков уже даёт ответ. Проверяйте сайт по таблице ниже: на каждую строку уходит 1–2 минуты. В примере сквозь таблицу идёт вымышленный example-shop.ru, который копирует настоящий example-shop.com.

Замок в браузере и порт 443 (HTTPS) показывают только шифрование канала, а не честность владельца. Бесплатный сертификат уровня DV (Domain Validation) действует 90 дней и выдаётся любому владельцу домена. Поэтому смотрите, на какое имя выписан сертификат, а не просто на замок. Подробнее о портах HTTP и HTTPS читайте отдельно.

Сверьте сайт с таблицей: каждая строка описывает, где смотреть и что считать тревожным.

Правило такое: два и более признака — не вводите данные карты.

Как читать вывод nslookup: строка Address с записью A показывает IP-адрес (Internet Protocol) сервера, а записи NS называют DNS-серверы (Domain Name System) домена. Если на одном IP сидят десятки несвязанных магазинов, а владелец скрыт, это повод насторожиться. Разберитесь, как устроены DNS-записи домена и что такое IP-адрес, а ответы про серверы найдёте, когда изучите вопросы о VPS.

Типичные ошибки при проверке сайта и как их избежать

Проверка за 10 минут часто проваливается не из-за сложности, а из-за привычных ошибок. Пять самых частых: вера в замок HTTPS, отзывы только на самом сайте, переход по ссылке из сообщения, опора на один признак и оценка по дизайну.

Разберём каждую на примере вымышленного магазина example-shop.ru, который копирует настоящий example-shop.com.

Доверие к замку HTTPS

Замок и порт 443 показывают только шифрование канала. Бесплатный сертификат уровня DV (Domain Validation), например Let’s Encrypt, действует 90 дней и выдаётся любому владельцу домена, в том числе мошеннику. Узнайте, как выдаются такие сертификаты, а затем выполните whois example-shop.ru и посмотрите владельца и дату регистрации. Домен моложе 6 месяцев — повод присмотреться, но не доказательство обмана.

Проверка только по отзывам на самом сайте

Владелец сам публикует и удаляет отзывы, поэтому на сайте они почти всегда хвалебные. Введите название магазина и слово «отзывы» в поиске и читайте сторонние площадки и форумы. Обращайте внимание на даты: десятки похвал за один день выглядят подозрительно.

Переход по ссылке из сообщения или рекламы

Адрес подделывают одной буквой: rn вместо m или 0 вместо o. Вводите адрес вручную или открывайте сайт через поиск, а проверенный магазин сохраните в закладки. Подозрительный адрес прогоните через Google Safe Browsing: он находит известные фишинговые сайты.

Проверка одного признака

У подделки часть признаков в порядке: сертификат есть, а владелец скрыт. Например, изучите, как Cloudflare скрывает настоящий сервер, и тогда проверка внешнего IP-адреса почти ничего не покажет. Смотрите минимум 3 признака из таблицы, а при двух и более тревожных откажитесь от ввода данных карты. Подробнее о сертификатах: прочитайте про сертификат безопасности.

Вывод по красивому дизайну

Шаблон копируется за минуты: достаточно сохранить страницы настоящего магазина. Сравнивайте адрес, владельца домена, реквизиты и условия возврата, а не картинки.

Большинство ошибок исчезает, если не доверять первому впечатлению и сверять сайт по нескольким независимым признакам.

Что делать, если вы ввели данные на подозрительном сайте

Сразу звоните в банк по номеру на обратной стороне карты и просите заблокировать её. Назовите время ввода и адрес сайта, например example-shop.ru. Не ждите списаний: мошенники часто пробуют карту в первые минуты. Если вы ввели код из SMS (Short Message Service) или трёхзначный CVV-код, скажите об этом оператору.

Затем смените пароль на всех сервисах, где вы его повторяли. Новый пароль делайте не короче 12 символов и уникальным для каждого сайта. Включите двухфакторную аутентификацию: вход тогда требует 2 шага, пароль и одноразовый код. Начните с почты и банка, потому что через почту сбрасывают пароли остальных сервисов. Если почта у вас на своём домене, настройте доменную почту с надёжной защитой входа.

Если вы что-то скачивали или открывали файл с сайта, проверьте устройство антивирусом. Пока не закончите проверку, не заходите с него в банк.

Пока данные свежие, соберите доказательства и отправьте жалобы:

• сделайте скриншоты страницы, формы ввода, переписки и чека, сохраните точный адрес сайта;
• выясните регистратора командой whois example-shop.ru и пожалуйтесь ему на домен;
• узнайте хостинг по команде nslookup example-shop.ru и напишите на его abuse-адрес (адрес для жалоб на злоупотребления), обычно это abuse@ с доменом провайдера;
• подайте заявление в полицию и приложите скриншоты.

Жалобы помогают заблокировать сайт и остановить других жертв, но вернуть деньги они не гарантируют. Если пострадал ваш собственный сайт, держите свежую копию: настройте резервное копирование.

Когда проверки сайта на подлинность недостаточно

Семь шагов за 10 минут отсеивают явные подделки вроде example-shop.ru, но не доказывают честность владельца. Замок HTTPS и порт 443 показывают только шифрование соединения, а бесплатный сертификат на 90 дней получает любой владелец домена. Если сумма заметная, одной проверки мало.

Владельцам сайтов те же шаги помогают взглянуть на проект глазами покупателя: возраст домена, сертификат, контакты, реквизиты. Выложите на сайт данные юрлица и действующий сертификат, и посетителям будет проще вам доверять. Прочитайте, как проверить сайт на безопасность и чем опасна DDoS-атака (distributed denial of service, распределённый отказ в обслуживании). Если проект перерастает обычный хостинг, изучите ответы на частые вопросы о VPS и сравните рейтинг VPS-хостингов.

Покупателю усиленная проверка нужна при крупном платеже, предоплате юридическому лицу и работе с новым подрядчиком. В этих случаях сделайте дополнительные шаги:

• Заключите договор с реквизитами сторон, сроками и порядком возврата денег.
• Найдите компанию по ИНН (идентификационному номеру налогоплательщика) в ЕГРЮЛ (Единый государственный реестр юридических лиц) на сайте ФНС и сверьте название, адрес, статус и руководителя.
• Переводите деньги на расчётный счёт компании, а не на карту частного лица.
• Выбирайте способ оплаты с возможностью возврата и разбивайте крупную сумму на этапы.
• Сохраняйте переписку, счета и скриншоты страниц.