Kuidas kontroll töötab
Siin on kirjas, mida veebilehe turvakontroll vaatab, kuidas skoor tekib ja mida tulemus ei näita. Nii saad tulemuse ise üle kontrollida.
Viimati uuendatud
Vastutaja: OEJ OÜ
Mida me loeme
Loeme ainult avalikku teavet. See on sama teave, mida näeb iga külastaja, brauser või e-posti server: veebilehe vastused, avalehe kood ja domeeni avalikud DNS-kirjed. DNS-päringud teeme Cloudflare'i ja Google'i kaudu.
Me ei logi sisse, ei saada vorme ega proovi ühtegi kaitset ületada.
29 turvakontrolli valdkondade kaupa
Tulemuse lehel on turvakontrollid jagatud valdkondadesse. Siin on sama jaotus. Iga kontrolli juures on kirjas, mida see vaatab ja millise pealkirjaga näed leidu tulemuses.
Ühendus ja sertifikaat
Kas külastaja ühendus on krüpteeritud ja brauser usaldab sinu lehte.
- HTTPS-i sertifikaat
Kas HTTPS-i sertifikaat kehtib, on väljastatud sellele aadressile ja brauser usaldab seda.
Kui leiame midagi, on tulemuses pealkiri „Brauser võib sinu lehel hoiatust näidata“. - Ühenduse versioonid (TLS)
Kas tänapäevased krüpteeritud ühenduse versioonid (TLS 1.2 ja 1.3) töötavad. Vanemate versioonide keelamist selles versioonis ei katsetata.
Kui leiame midagi, on tulemuses pealkiri „Sinu leht lubab ka vananenud krüpteerimist“. - Suunamine HTTPS-ile
Kas http:// aadress suunab külastaja ümber turvalisele https:// aadressile.
Kui leiame midagi, on tulemuses pealkiri „Osa külastajaid jõuab sinu lehele krüpteerimata“. - HTTPS-i juhis brauserile (HSTS)
Kas leht annab brauserile juhise (HSTS) avada see alati krüpteeritult.
Kui leiame midagi, on tulemuses pealkiri „Brauser ei tea, et sinu lehte tuleb alati avada krüpteeritult“. - Sertifikaatide reeglid (CAA)
Kas domeeni DNS-is on reegel (CAA), kes tohib domeenile sertifikaate väljastada, ja kas see on õigesti kirjas.
Kui leiame midagi, on tulemuses pealkiri „Sertifikaadi väljastamise reeglis on viga“.
E-posti võltsimise kaitse
Kas sinu domeeni e-posti seaded aitavad postkastidel võltsitud kirju ära tunda.
- Lubatud saatjad (SPF)
Kas domeenil on SPF-kirje, mis nimetab serverid, kes tohivad domeeni nimel kirju saata.
Kui leiame midagi, on tulemuses pealkiri „Postkastid ei tea, kes tohib sinu nimel kirju saata“. - Kirjade allkiri (DKIM)
Kas domeeni kirjade allkirjavõtmed (DKIM) on DNS-is leitavad ja korras.
Kui leiame midagi, on tulemuses pealkiri „Osa sinu kirjade allkirju ei saa kontrollida“. - Võltsitud kirjade reegel (DMARC)
Kas domeenil on DMARC-reegel ja mida see palub postkastidel kontrolli mitteläbinud kirjadega teha. Loeme reeglit RFC 9989 (mai 2026) järgi: aegunud välja pct märgime ainult tähelepanekuna, testrežiim t=y on leid, ja aruannete aadress (rua) on OEJ jälgimissoovitus, mitte protokolli nõue. Lõpliku reegli, näiteks p=reject, valib domeeni e-posti haldur.
Kui leiame midagi, on tulemuses pealkiri „Sinu domeen ei palu postkastidel võltsitud kirju kinni pidada“. - Krüpteeritud kirjade vastuvõtt (MTA-STS)
Kas domeen avaldab sissetulevate kirjade krüpteeritud edastamise reegli (MTA-STS).
Kui leiame midagi, on tulemuses pealkiri „Sinu postkast ei nõua saatjalt krüpteeritud ühendust“. - Kirjade tõrketeated (TLS-RPT)
Kas domeen on määranud aadressi e-posti ühenduse tõrgete aruannetele (TLS-RPT).
Kui leiame midagi, on tulemuses pealkiri „Sinu domeenil ei ole TLS-i tõrkearuannete aadressi“.
Brauseri turvaseaded
Kas sinu leht annab brauserile kaitsejuhised.
- Skriptide reegel (CSP)
Kas leht annab skriptide laadimise reegli (CSP) ja kas selles on teadaolevalt nõrku skriptiseadeid (unsafe-inline, unsafe-eval, metamärk).
Kui leiame midagi, on tulemuses pealkiri „Sinu leht ei piira, milliseid skripte brauser tohib käivitada“. - Raamimise kaitse
Kas kontrollitud vastus piirab raamis näitamist (DENY, SAMEORIGIN, 'none', 'self' või nimetatud lehed). Metamärki (*) näitame, kuid leiuks ei loe.
Kui leiame midagi, on tulemuses pealkiri „Sinu lehte saab peita võõra lehe sisse“. - Failitüübi kaitse (nosniff)
Kas leht keelab brauseril failide tüüpi oletada (nosniff).
Kui leiame midagi, on tulemuses pealkiri „Brauser võib sinu faile valesti tõlgendada“. - Viitaja teave
Millise viitaja reegli (Referrer-Policy) leht määrab.
Kui leiame midagi, on tulemuses pealkiri „Sinu leht võib jagada teistele lehtedele rohkem kui vaja“. - Brauseri õigused
Kas leht avaldab brauseri õiguste reegli (Permissions-Policy). Selles versioonis reegli sisu ei hinnata.
Kui leiame midagi, on tulemuses pealkiri „Sinu leht ei piira kaamera, mikrofoni ja asukoha küsimist“. - Päringud teistelt lehtedelt (CORS)
Kas kontrollitud vastus lubab teiste veebilehtede skriptidel seda lugeda (CORS).
Kui leiame midagi, on tulemuses pealkiri „Teised veebilehed võivad brauseri kaudu sinu lehe vastuseid lugeda“.
Avalik teave ja kontakt
Kas probleemist saab teada anda ja mida server endast avaldab.
- Turvakontakt (security.txt)
Kas lehel on turvakontakti fail security.txt, kust leiab, kellele probleemist teada anda.
Kui leiame midagi, on tulemuses pealkiri „Probleemi märganud inimene ei leia, kellele teatada“. - Serveri tarkvara
Mida server päises Server endast nimetab. Tarkvaraversioone selles versioonis ei hinnata.
Kui leiame midagi, on tulemuses pealkiri „Sinu server näitab avalikult oma tarkvara versiooni“. - Domeeni allkiri (DNSSEC)
Mida DNS-resolverid domeeni allkirjade (DNSSEC) kohta teatavad. Domeeni allkirjastatust selles versioonis ei hinnata.
Kui leiame midagi, on tulemuses pealkiri „Sinu domeeni aadressiandmed ei ole allkirjastatud“.
Avalik kood
Kas lehe avalikus koodis on midagi, mis sinna ei kuulu.
- Saladused koodis
Kas avalehe avalikus koodis on midagi, mis näeb välja nagu salajane võti.
Kui leiame midagi, on tulemuses pealkiri „Sinu lehe avalikus koodis võib olla salajane võti“. - Lähtekoodi kaardid
Kas lehe kood viitab avalikele lähtekoodi kaartidele.
Kui leiame midagi, on tulemuses pealkiri „Sinu lehe lähtekoodi kaardid on avalikud“. - Välised skriptid
Milliseid skripte avalehe HTML deklareerib. See on loend, mitte hinnang.
Kui leiame midagi, on tulemuses pealkiri „Sinu lehel töötavad teiste ettevõtete skriptid“. - JavaScripti teegid
Milliseid JavaScripti teekide versioone skriptide aadressid nimetavad. See on loend, mitte nõrkuste kontroll.
Kui leiame midagi, on tulemuses pealkiri „Sinu leht kasutab vananenud koodiraamatukogu“. - Sisselogimine
Kas avalehel on sisselogimise linke või vorme. Sisse me ei logi.
Kui leiame midagi, on tulemuses pealkiri „Sisselogimine ja kasutajakontod“.
Selles versioonis hindamata
Need kontrollid ei ole selles versioonis veel olemas või vajavad eraldi kokkulepitud ja lubatud testimist.
- Käitumine enne nõusolekut
Kas leht jälgib külastajat enne nõusolekut. Selles versioonis lehe skripte ei käivitata.
Tulemuses on see rida „Kas sinu leht jälgib külastajat enne nõusolekut“. - Tundlikud failid
Kas serveris on peidetud faile. Selleks peaks aadresse oletama; see vajab eraldi kokkulepitud ja lubatud testimist.
Tulemuses on see rida „Peidetud failid serveris“. - Rakenduse loogika
Kuidas rakendus käitub sisselogimise ja vormide taga. See vajab ligipääsu ja eraldi kokkulepet.
Tulemuses on see rida „Rakenduse sisemine loogika“. - Sarnase nimega domeenid
Kas keegi on registreerinud domeeniga sarnase nime. Seda selles versioonis veel ei ole.
Tulemuses on see rida „Sarnase nimega domeenid“. - Sertifikaatide logi
Milliseid alamdomeene näitab sertifikaatide avalik logi. Seda selles versioonis veel ei ole.
Tulemuses on see rida „Alamdomeenid sertifikaatide avalikus logis“.
Otsingu- ja AI-valmidus
See osa vaatab, kui hästi otsingumootorid ja AI-tööriistad sinu lehte leiavad ja mõistavad. Loeme kuni 20 avalikku lehte, saidikaardid ja robots.txt reeglid, mis ütlevad robotitele, mida nad lugeda tohivad. Lehe skripte me ei käivita.
Sellel osal skoori ei ole. Näitame leide ja soovitusi, mitte punkte. Tegelikku otsingukohta ega AI-tööriistade soovitusi me ei hinda.
Kuidas skoor arvutatakse?
OEJ kontrolli skoor võtab turvaosa tulemuse kokku ühe arvuna. Arvutame selle nende reeglite järgi:
- Alustame 100 punktist.
- Leid, mis tuleb parandada esimesena: −30 punkti.
- Leid, mis vajab ülevaatust: −20 punkti.
- Soovitus: −3 punkti.
- Märkusteta ja hindamata kontrollid punkte ei võta. Skoor ei lähe alla 0.
- Kui üle 10 kontrolli jääb hindamata, skoori ei anna. Siis näitame „Hindamata“.
„Paranda esimesena“ võtab 30 punkti: mõõdetud raskusaste on kõrge; „Vajab ülevaatust“ võtab 20 punkti: tasub muuta, kuid raskusaste ei ole kõrge; „Soovitus“ võtab 3 punkti: ei ole tõendatud nõrkus.
Tasemed: 90–100 Väga hea · 75–89 Hea · 60–74 Rahuldav · 40–59 Puudulik · 0–39 Nõrk.
Näide: 1 ülevaatust vajav leid ja 3 soovitust annavad 100 − 20 × 1 − 3 × 3 = 71 ehk Rahuldav.
Kui mahaarvamisi on kokku üle 100 punkti, näitab tulemus arvutust kujul max(0, 100 − 20 × 5 − 3 × 3) = 0.
Kui kontroll jääb hindamata
Hindamata tähendab, et kontrolli ei tehtud või see jäi pooleli. Tulemuses on iga hindamata kontrolli juures põhjus:
- Vajab eraldi kokkulepitud ja lubatud testimist. Selleks peaks sisse logima, vorme saatma või serverist faile otsima; seda teeme ainult eraldi kokkuleppe ja loaga.
- Selles versioonis veel ei ole. Kontroll on plaanis, kuid selles versioonis seda veel ei tehta.
- Tehnilise või kogumispiirangu tõttu tegemata. Näiteks ei vastanud veebileht või DNS õigel ajal. Proovi hiljem uuesti.
Hindamata ei tähenda ohtu ega turvalisust. „Märkusteta“ kehtib ainult tehtud kontrollide kohta. „Osaliselt hinnatud“ kontroll vaatas ainult osa sellest, mida selle nimi lubab oletada, või ainult loetles, mida leidis. Aruandes on see eraldi märgitud ega ole loetelus „Mis on korras“.
Kontrollide versioon
Praegu teeme iga kontrolli nende kontrollikomplektidega:
- Meetodi versioon:
oej-security-check-2026-10-26 - Turvakontrollid:
standing-public-security-r1-v4·public-security-v2 - DMARC-i tõlgendus: RFC 9989 (2026-05)
- Otsingu- ja AI-valmidus:
explicit-authorized-marketing-v1
Kehtib alates 26.10.2026. Kui meetod muutub, uuendame seda lehte ja kuupäeva.
Mida see kontroll ei ole
Kontroll ei ole sertifikaat. Hea tulemus ei tõenda, et veebilehel nõrkusi pole. Põhjalik kontroll vajab ligipääsu ja eraldi kokkulepet.
See on avalikult nähtava info kuupäevastatud vaatlus. See ei ole küberturvalisuse seaduse mõistes turvaaudit ega läbistustest. Me ei logi sisse, ei saada vorme ega ürita ühtegi kaitset ületada.
This page sets out what the website security check looks at, how the score is made and what the result does not show. So you can verify the result yourself.
Last updated
Responsible: OEJ OÜ
What we read
We read public information only. It is the same information any visitor, browser or mail server sees: the website's responses, the homepage code and the domain's public DNS records. DNS lookups go through Cloudflare and Google.
We do not log in, submit forms or try to get past any protection.
The 29 security checks by area
On the result page the security checks are grouped by area. This is the same grouping. For each check you see what it looks at and the heading a finding gets in your result.
Connection & certificate
Whether visitors' connections are encrypted and browsers trust your site.
- HTTPS certificate
Whether the HTTPS certificate is valid, issued for this address and trusted by browsers.
If we find something, the result says “Browsers may show a warning on your site”. - Connection versions (TLS)
Whether current encrypted connection versions (TLS 1.2 and 1.3) work. Whether older versions are refused is not tested in this version.
If we find something, the result says “Your site still allows outdated encryption”. - HTTPS redirect
Whether the http:// address redirects visitors to the secure https:// address.
If we find something, the result says “Some visitors reach your site unencrypted”. - HTTPS-only instruction (HSTS)
Whether the site tells browsers (HSTS) to always open it encrypted.
If we find something, the result says “Browsers aren't told to always open your site encrypted”. - Certificate rules (CAA)
Whether the domain's DNS has a rule (CAA) on who may issue certificates for it, and whether the rule is written correctly.
If we find something, the result says “Your certificate issuing rule has an error”.
Email spoofing protection
Whether your domain's email settings help mailboxes recognise forged email.
- Allowed senders (SPF)
Whether the domain has an SPF record naming the servers allowed to send email for it.
If we find something, the result says “Mailboxes don't know who may send email for you”. - Email signature (DKIM)
Whether the domain's email signing keys (DKIM) can be found in DNS and are in order.
If we find something, the result says “Some of your email signatures can't be checked”. - Forged email rule (DMARC)
Whether the domain has a DMARC policy, and what it asks mailboxes to do with email that fails the check. We read the policy under RFC 9989 (May 2026): the obsolete pct tag is noted only as an observation, test mode (t=y) is a finding, and a report address (rua) is OEJ's monitoring suggestion, not a protocol requirement. The final policy, such as p=reject, is chosen by the domain's email administrator.
If we find something, the result says “Your domain doesn't ask mailboxes to stop forged email”. - Encrypted email delivery (MTA-STS)
Whether the domain publishes a policy for encrypted delivery of incoming email (MTA-STS).
If we find something, the result says “Your mailbox doesn't require senders to encrypt”. - Email failure reports (TLS-RPT)
Whether the domain names an address for reports on failed email connections (TLS-RPT).
If we find something, the result says “Your domain has no address for TLS failure reports”.
Browser security settings
Whether your site gives browsers protective instructions.
- Script rule (CSP)
Whether the site gives browsers a script-loading rule (CSP), and whether it allows known weak script settings (unsafe-inline, unsafe-eval, wildcards).
If we find something, the result says “Your site doesn't limit which scripts browsers may run”. - Framing protection
Whether the checked response restricts framing (DENY, SAMEORIGIN, 'none', 'self' or named sites). A wildcard (*) is shown but not counted as a finding.
If we find something, the result says “Your page can be hidden inside someone else's page”. - File type protection (nosniff)
Whether the site tells browsers not to guess file types (nosniff).
If we find something, the result says “Browsers may misread your files”. - Referrer information
Which referrer rule (Referrer-Policy) the site sets.
If we find something, the result says “Your site may share more with other sites than it needs to”. - Browser permissions
Whether the site publishes a browser-permissions rule (Permissions-Policy). Its content is not assessed in this version.
If we find something, the result says “Your site doesn't limit requests for camera, microphone and location”. - Requests from other sites (CORS)
Whether the checked response lets other websites' scripts read it (CORS).
If we find something, the result says “Other websites may read your site's responses in the browser”.
Public information & contact
Whether problems can be reported and what your server reveals about itself.
- Security contact (security.txt)
Whether the site has a security.txt contact file that says whom to tell about a problem.
If we find something, the result says “Someone who spots a problem can't find whom to tell”. - Server software
What the server names about itself in the Server header. Software versions are not graded in this version.
If we find something, the result says “Your server shows its software version publicly”. - Domain signature (DNSSEC)
What DNS resolvers report about the domain's signatures (DNSSEC). Whether the domain is signed is not graded in this version.
If we find something, the result says “Your domain's address records are not signed”.
Public code
Whether the public code holds anything that shouldn't be there.
- Secrets in code
Whether the homepage's public code holds anything that looks like a secret key.
If we find something, the result says “Your site's public code may contain a secret key”. - Source maps
Whether the site's code points to public source maps.
If we find something, the result says “Your site's source maps are public”. - External scripts
Which scripts the homepage HTML declares. This is a list, not an assessment.
If we find something, the result says “Scripts from other companies run on your site”. - JavaScript libraries
Which JavaScript library versions the script addresses name. This is a list, not a vulnerability check.
If we find something, the result says “Your site uses an outdated code library”. - Login
Whether the homepage has login links or forms. We do not log in.
If we find something, the result says “Logins and user accounts”.
Not assessed in this version
These checks are not in this version yet or need separately agreed and authorised testing.
- Behaviour before consent
Whether the site tracks visitors before they consent. This version does not run the site's scripts.
The result lists it as “Does your site track visitors before they consent”. - Sensitive files
Whether the server has hidden files. That would mean guessing addresses, which needs separately agreed and authorised testing.
The result lists it as “Hidden files on the server”. - Application logic
How the application behaves behind logins and forms. That needs access and a separate agreement.
The result lists it as “The application's internal logic”. - Lookalike domains
Whether someone has registered a name like the domain's. Not in this version yet.
The result lists it as “Lookalike domains”. - Certificate logs
Which subdomains the public certificate logs show. Not in this version yet.
The result lists it as “Subdomains in public certificate logs”.
Search & AI readiness
This part looks at how well search engines and AI tools can find and understand your site. We read up to 20 public pages, the sitemaps and the robots.txt rules that tell robots what they may read. We do not run the site's scripts.
This part has no score. We show findings and suggestions, not points. We do not judge actual search rankings or what AI tools recommend.
How is the score calculated?
The OEJ check score sums up the security part in one number. We calculate it with these rules:
- We start at 100 points.
- Each finding to fix first: −30 points.
- Each finding that needs review: −20 points.
- Each suggestion: −3 points.
- Checks with no findings and checks not assessed take nothing off. The score never goes below 0.
- If more than 10 checks are not assessed, we give no score and show “Not rated”.
“Fix first” costs 30 points: the measured severity is high; “Needs review” costs 20 points: worth changing, but not high severity; “Suggestion” costs 3: not a demonstrated weakness.
Levels: 90–100 Very good · 75–89 Good · 60–74 Fair · 40–59 Poor · 0–39 Weak.
Example: 1 finding that needs review and 3 suggestions give 100 − 20 × 1 − 3 × 3 = 71, Fair.
When the deductions add up to more than 100 points, the result shows the sum as max(0, 100 − 20 × 5 − 3 × 3) = 0.
When a check is not assessed
Not assessed means the check was not done or did not finish. The result gives the reason next to each check that was not assessed:
- Needs separately agreed and authorised testing. That would mean logging in, submitting forms or searching the server for files, which we do only with a separate agreement and authorisation.
- Not in this version yet. The check is planned but not done in this version yet.
- Blocked by technical or collection limits. For example, the website or DNS did not answer in time. Try again later.
Not assessed is not evidence of danger or safety. “No findings” applies only to the checks we ran. A “Partly assessed” check looked at only part of what its name suggests, or only listed what it found. The report marks it separately, and it is not listed under “What is in good shape”.
Check-set version
Every check now runs with these check sets:
- Method version:
oej-security-check-2026-10-26 - Security checks:
standing-public-security-r1-v4·public-security-v2 - DMARC interpretation: RFC 9989 (2026-05)
- Search & AI readiness:
explicit-authorized-marketing-v1
Valid from 26.10.2026. When the method changes, we update this page and the date.
What the check is not
The check is not a certification. A good result does not prove the site has no weaknesses. A thorough check needs access and a separate agreement.
This is a dated observation of publicly visible information. It is not a security audit within the meaning of the Estonian Cybersecurity Act, and not a penetration test. We do not log in, submit forms or attempt to bypass any protection.