Статті ·
Безпека сайту клініки: ми перевірили 71 сайт приватних клінік Львова — жоден не захищений від листів-підробок
Клініки зберігають найчутливіші дані — діагнози, аналізи, записи на прийом. Пацієнти довіряють їхнім сайтам і листам. Ми перевірили, наскільки ця довіра захищена технічно: 71 сайт приватних клінік Львова, жовтень 2026 року.
Як ми перевіряли
Ми зібрали з відкритих джерел сайти приватних клінік Львова: стоматології, багатопрофільні й діагностичні центри, офтальмологія, косметологія, реабілітація. Національні мережі не брали — лише львівські клініки з власним сайтом. Перевірка автоматична й пасивна: ми дивилися головну сторінку і публічні записи домену так, як їх бачить будь-який відвідувач чи пошукова система. Жодних спроб злому, прихованих сторінок чи підбору паролів. Назв клінік не публікуємо — лише зведені цифри.
Головне: листи від імені клініки може надіслати будь-хто
Жоден із 71 домену не налаштував DMARC у режимі блокування. У 79 % сайтів DMARC немає взагалі, у решти він лише «спостерігає» і нічого не зупиняє. Для пацієнта це означає просте: шахрай може надіслати лист з адреси клініки — «результати аналізів у вкладенні», «доплатіть за прийом за посиланням» — і поштова скринька не позначить його як підробку.
Виправляється це за годину: три записи в налаштуваннях домену (SPF, DKIM і DMARC). Без зміни сайту і без зупинки роботи.
Захисні налаштування сервера
- 80 % сайтів не мають HSTS — браузер не отримує вказівки завжди відкривати сайт лише захищеним з’єднанням.
- 89 % не мають політики безпеки вмісту (CSP), яка обмежує сторонні скрипти на сторінці.
- 82 % не захищені від вбудовування в чужий сайт — сторінку клініки можна показати всередині підробленої.
Ці налаштування не видно відвідувачу, але саме вони ускладнюють найпоширеніші атаки. Додаються вони на сервері, зазвичай без переробки сайту.
Застарілі компоненти
68 % сайтів працюють на WordPress — це нормально, якщо їх оновлюють. Але 41 % відкрито показують версію WordPress у коді сторінки: зловмиснику не треба нічого вгадувати. 15 % сайтів використовують стару бібліотеку jQuery (до версії 3.5) з відомими вразливостями, подекуди версії 1.x десятирічної давності. Щонайменше 6 сайтів показують версію PHP, підтримку якої вже припинено, — оновлень безпеки для неї більше не буде.
Доступність для пацієнтів з порушеннями зору
На 83 % сайтів є фото без текстового опису. Загалом без опису 1 522 з 4 932 зображень — майже третина. Незряча людина з програмою читання екрана просто не дізнається, що на них: схема проїзду, ціни, лікар. Для медичного закладу це не дрібниця — серед пацієнтів багато людей похилого віку й людей з інвалідністю.
Що зроблено добре
Усі 71 сайт працюють через захищене з’єднання HTTPS, усі адаптовані під телефон, і на жодному ми не знайшли російських лічильників відвідуваності. Базовий рівень у клінік Львова є — бракує наступного кроку.
Що зробити директору клініки: чотири кроки
Вам не потрібно розбиратися в техніці. Достатньо поставити правильні запитання людям, які ведуть ваш сайт і пошту, — і перевірити, що зроблено.
Крок 1. Захистіть пошту клініки від підробок. Це найважливіше для пацієнтів. Запитайте того, хто налаштовував вашу пошту (адміністратора, розробника або компанію, де ви купували домен): «Чи налаштовані в нас SPF, DKIM і DMARC? І чи DMARC у нас у режимі блокування, а не лише спостереження?» Нормальна відповідь — «так, усі три, DMARC блокує». Якщо чуєте «не знаю» чи «а навіщо» — це робота на годину-дві, яку варто замовити. Сайт при цьому не зупиняється.
Крок 2. Перевірте, чи сайт оновлюють. Сайт, як і автомобіль, потребує регулярного обслуговування. Запитайте розробника: «Коли останній раз оновлювали WordPress і плагіни? Чи є в нас свіжа резервна копія?» Добра відповідь — «цього місяця, копія є». Якщо сайт ніхто не обслуговує з моменту запуску — домовтеся про оновлення раз на місяць або хоча б раз на квартал. Якщо розробник каже, що оновити не можна, бо «все зламається», — сайт пора переробляти.
Крок 3. Попросіть увімкнути захисні налаштування. Скажіть розробнику або хостинг-компанії: «Увімкніть, будь ласка, базові захисні заголовки на сервері — HSTS і захист від вбудовування сторінки». Для фахівця це кілька хвилин, а сайт стає помітно стійкішим до найпоширеніших атак.
Крок 4. Подбайте про пацієнтів з порушеннями зору. Попросіть адміністратора сайту додати короткий опис до кожного важливого фото: лікарів, кабінетів, входу. Не «фото 1», а «Вхід до клініки з вулиці, пандус праворуч». Це 15–20 хвилин роботи, а незрячі пацієнти й люди похилого віку отримають ту саму інформацію, що й усі.
Як перевірити результат самому
Не обов’язково вірити на слово. Відкрийте безкоштовний сервіс mxtoolbox.com/dmarc і впишіть адресу свого сайту. Якщо бачите повідомлення, що DMARC не знайдено або стоїть «p=none», — крок 1 ще не зроблено. Решту показників можна побачити разом за хвилину в нашому безкоштовному Техогляді (посилання нижче).
Почніть з пошти: це найдешевше й найважливіше. Решту можна зробити за тиждень-два, не зупиняючи роботу сайту.
Перевірити свій сайт за тими ж і ще кількома показниками можна безкоштовно за хвилину в Техогляду сайту (оцінка безкоштовно). Результат простою мовою, з поясненням, що виправити першим.
Дослідження провела вебстудія OLBO (Львів). Дані станом на 15 жовтня 2026 року; автоматична перевірка дає наближений результат, окремі показники можуть відрізнятися. Журналісти можуть використовувати цифри з посиланням на olbo.com.ua.