Начать бесплатно

Круглосуточное наблюдение за безопасностью ваших сайтов

Регулярное сканирование внешнего периметра, обнаружение новых поддоменов и открытых портов, проверка на новые уязвимости, разбор каждой находки до готового плана починки. Настраивать ничего не нужно. Найдём проблему — сразу напишем.

14 104проверок в базе
5 396целей под наблюдением
до 15поддоменов включено в Pro
01.11, 15:44последнее обновление базы уязвимостей, МСК
сразуавто-запуск скана при новой уязвимости в зависимостях
раз в неделюполная перепроверка всех целей
Подключить домен бесплатно Посмотреть кабинет

1 домен бесплатно навсегда · без карты · подключение за 2 минуты

Экран «Обзор» в кабинете VulnEye на демо-данных: уровень риска критический, 3 критических и 3 высоких уязвимости, кнопка «Разобрать 6 находок» и очередь из найденных уязвимостей Spring4Shell, Drupalgeddon2 и открытого доступа к настройкам Git.

// как взламывают сайты

Массовое сканирование сети

Скрипт не выбирает сайты, он проверяет все подряд, миллионами. Ищет одно: уязвимую версию CMS или плагина. Нашёл — сайт в списке на взлом.

день 0

Уязвимость публикуется

Выходит CVE для CMS, плагина или библиотеки, которые стоят на сотнях тысяч сайтов. Возможно, и на вашем.

+ часы

Появляется эксплойт

Исследователи выкладывают рабочий эксплойт в открытый доступ: так каждый может убедиться, закрыта ли дыра у него.

дни 1–3

Начинается перебор

Ботнеты берут публичные эксплойты и проверяют ими всё подряд. Уязвимые сайты уходят в очередь, дальше автоматика: шелл, майнер, слив базы.

день 30+

Новость приходит со стороны

От клиента, которому пришло странное письмо. От хостинга, который заблокировал аккаунт. От поисковика, пометившего сайт опасным.

эксплуатируется прямо сейчас

Эти уязвимости уже используют хакеры

CVE-2026-118527 Unknown

Ivanti Connect Secure Generation of Predictable Numbers or Identifiers Vulnerability

Ivanti Connect Secure contains a generation of predictable numbers or identifiers vulnerability that allows a remote au…
CVE-2026-111357 high · 7.0

Ivanti Connect Secure Missing Authentication for Critical Function Vulnerability

Ivanti Connect Secure contains a missing authentication for critical function vulnerability that could allow a local au…
CVE-2026-97229 critical · 10.0

GitLab Community Edition and Enterprise Edition Integer Overflow or Wraparound Vulnerability

GitLab Community Edition and Enterprise Edition contain a integer overflow or wraparound vulnerability that could allow…
CVE-2026-76418 high · 8.6

Cisco Secure Firewall ASA Software and Cisco Secure FTD Software Unchecked Return Value to NULL Pointer Dereference Vulnerability

Cisco Secure Firewall ASA Software and Cisco Secure FTD Software contains an unchecked return value to NULL pointer der…
CVE-2026-46300 high · 7.8

Linux Kernel Missing Initialization of a Variable Vulnerability

Linux Kernel contains a missing initialization of a variable vulnerability that could allow for unintended modification…
CVE-2026-41709 Low

Broadcom VMWare ESX Insufficient Logging Vulnerability

Broadcom VMWare ESX contains an insufficient logging vulnerability that could allow a malicious actor with admin access…
+10 уязвимостей за последние 7 дней · 1766 в каталоге · источник: CISA Known Exploited Vulnerabilities Проверить мои домены на эти уязвимости →

// как начать пользоваться

Три шага ваших. Остальное — наше.

01

Добавьте домен

Впишите адрес сайта, больше ничего не нужно. VulnEye сам найдёт поддомены, живые сервисы, открытые порты и технологии: карта того, что видно снаружи, соберётся без вашего участия.

02

Подтвердите, что домен ваш

Добавьте одну TXT-запись в DNS, это займёт минуту. Проверяем мы только подтверждённые домены: так сканирование остаётся законным, и это закреплено в оферте.

03

Если сайт за защитой, добавьте сканер в исключения

Если перед сайтом стоит WAF или защита от DDoS (Cloudflare, DDoS-Guard, Qrator), добавьте адрес сканера в её исключения. Адрес будет в кабинете. Защиты нет? Шаг можно пропустить.

дальше без вас

  1. Разведка Ищем поддомены, живые сервисы, открытые порты и технологии. Карта периметра собирается сама и обновляется каждым сканом.
  2. Проверки По каждой найденной цели идут шаблоны под её технологию: WordPress проверяется как WordPress, а не «всем подряд».
  3. Находка То, что подтвердилось, становится задачей в кабинете, с разбором на русском и оценкой срочности.
  4. Перепроверка Починили — убедимся и закроем. Вернулось после обновления — откроем снова и скажем вам.
Добавить домен

// скриншоты

Как выглядит кабинет

Сначала находим то, о чём вы забыли

Вы добавляете один домен. Дальше VulnEye сам ищет поддомены, живые сервисы, открытые порты и технологии. Здесь 37 адресов, руками из них заведены три.

Экран «Поверхность атаки» в VulnEye: 37 активов, 11 с находками; таблица доменов с колонками «как найден», «находки» и временем последнего скана.
Колонка «как найден»: «автоматически» значит, что этот адрес никто не вводил. На jenkins.vega-corp.test уже висит находка.

Шесть строк вместо ста

25 находок ушли в шум, 4 отмечены ложными, решения ждут шесть. Порядок задаёт не только CVSS: EPSS показывает вероятность, что уязвимость попробуют в ближайший месяц, а каталог CISA — что её уже применяли в атаках.

Экран находок VulnEye: очередь из 12 активных уязвимостей по критичности и карточка выбранной находки с вероятностью атаки и разбором нейросети.
94% и 63% в строках — это EPSS, вероятность попытки. Отметка «Шифровальщики» ставится по каталогу CISA, а не по нашей оценке.

К каждой находке: что это, чем грозит и как чинить

Вместо строки вывода сканера — карточка на русском, со ссылкой на первоисточник. На Pro нейросеть отдельно разбирает находку: насколько это опасно именно у вас и с чего начинать.

Карточка уязвимости Drupalgeddon2 в VulnEye: разделы «что это за уязвимость», «чем это грозит» и «как устранить» с номером патча, плюс ссылка на первоисточник.
«Как устранить» здесь — это версия и номер патча, а не совет обратиться к специалисту.

Исправили — перепроверим, вернулось — скажем

Находка живёт как задача с историей: когда открылась, когда закрылась после перепроверки, когда вернулась после очередного обновления. На события приходит письмо и сообщение в Telegram, порог важности выбираете вы.

История находки в VulnEye: обнаружена 17.06.2026, исправлена 19.07.2026, вернулась дважды 13.08.2026, сейчас открыта.
«Вернулась ×2» — та же находка, открывшаяся снова после очередного обновления.

ещё внутри

  • Ложное срабатывание отмечается кнопкой. Отмеченная находка уходит из очереди и не возвращается на следующем скане.
  • Поиск секретов. Ищем ключи и токены — то, что могло случайно остаться в JS-бандлах, конфигах и служебных файлах.
  • Открытые порты на ваших IP. Проверяем не только сайты: база или панель управления, забытая наружу, находится так же.
  • Разбор уязвимости и промпт для нейросети. Объясняем, что нашли и чем это грозит, а рядом кладём готовый промпт: скопировать и отдать Claude Code или Cursor, если вы вайбкодер.

// для кого

Для тех, кто отвечает за сайты

Веб-студиям и фрилансерам

Сдали проект, а отвечаете за него репутацией. Все клиентские сайты в одном кабинете, каждый отдельным проектом. О проблеме вы узнаёте раньше клиента, а это и есть аргумент за абонентское обслуживание.

Фаундерам и инди-разработчикам

Постоянный присмотр за тем, что уже выкатилось в прод. Нейросети пишут код быстро, но иногда оставляют в нём ключи API и открытые эндпоинты. Проверяем то, что реально доступно снаружи, а не то, что задумывалось.

Малому бизнесу

Магазин, онлайн-запись, личный кабинет: если сайт приносит деньги, его простой и утечка данных стоят дороже любой подписки.

Безопасникам

Удобный просмотр внешнего периметра и ежедневное сканирование на новые уязвимости. Реализация мультиаккаунтности и доп. фич по запросу.

Границы: чего VulnEye не делает

мы не заменяем

  • Пентест. Мы закрываем окно между ними: пентест прошёл, назавтра вышла уязвимость в библиотеке, и проверка на неё уходит сразу, не дожидаясь следующего.
  • Антивирус на хостинге. Он ищет заражение, когда оно уже случилось. Мы работаем на шаг раньше: закрываем вход, пока им не воспользовались.

и не подойдём

  • Тем, кому пентест нужен по требованию регулятора: это лицензированная деятельность, лицензии ФСТЭК у нас нет.
  • Баг-хантерам: мы сканируем только домены с подтверждённым владением, чужие программы bug bounty так проверить нельзя.

// тарифы

Выберите тариф

Бесплатно
0 ₽ навсегда, без карты
1 домен + 3 поддомена
  • сканирование по расписанию и при добавлении цели
  • проверка новыми CVE, как только они выходят
  • поиск утёкших ключей и токенов
  • сканирование портов и сетевых сервисов
  • уведомления в Telegram и на почту
Начать бесплатно
собирается под вас
Pro

всё из бесплатного, плюс:

  • приоритет в очереди
  • разбор находки нейросетью по кнопке
  • скан сайта по кнопке
  • перепроверка находки по кнопке
Домен и поддомен — это разное
домен example.com — сайт, который вы заявили сами
поддомен api.example.com — то, что нашли мы

Находим и показываем все, а под постоянное наблюдение берём столько, сколько в тарифе. Слоты занимают живые поддомены, то есть те, что отвечают на запросы; любой из них можно закрепить или снять отметкой в кабинете, когда угодно и сколько угодно раз.

Чем больше — тем дешевле Каждый следующий домен стоит меньше предыдущего и добавляет 5 поддоменов в квоту. Поддомены сверх квоты оплачиваются поштучно (40 ₽) или пачкой (10 шт за 300 ₽); система сама берёт то, что вам дешевле.

Документы и отмена Для ИП и юрлиц есть оплата по счёту, договор и закрывающие документы. Подписка отменяется в любой момент из кабинета; возврат — пропорционально неиспользованным дням (п. 6.2 оферты).

// faq

Частые вопросы

Вам нужен доступ к моему серверу или коду?

Нет. Ни агента на сервер, ни ключей от хостинга, ни доступа к репозиторию — ставить и открывать не нужно ничего. Если что-то можно найти снаружи, это найдёт и атакующий. Задача VulnEye — найти это первым.

У меня Cloudflare или другая защита. Это помешает?

Может. WAF и защита от DDoS отсекают часть проверок, и скан выходит неполным. Поэтому перед каждым сканом мы проверяем, пускает ли защита сканер. Если не пускает, скажем об этом в кабинете и письмом, покажем адрес сканера для исключений и не будем отмечать находки исправленными, пока доступ не вернётся: иначе «исчезнувшая» за защитой находка выглядела бы закрытой.

Сканирование не уронит сайт?

Нет. Проверка выясняет, есть ли уязвимость, но ничего на сайте не меняет и не ломает. Запросы идут с ограниченной частотой, а если сайт на слабом хостинге, частоту можно снизить в настройках проекта.

У меня сайт на WordPress или конструкторе — мне это нужно?

WordPress, Bitrix, Joomla, OpenCart и самописные сайты — главная зона массовых взломов: их перебирают по свежим уязвимостям плагинов и тем. У конструкторов вроде Tilda обновляется сама платформа, но поддомены, формы и интеграции остаются на вас. Если через сайт приходят заявки или на нём хранятся данные клиентов, за ним стоит следить.

Откуда вы узнаёте о новых уязвимостях?

Линий две. Первая автоматическая. Каждый час сверяемся с каталогом CISA KEV (уязвимости, которые уже применяют в атаках) и с NVD. Сами проверки берём из открытой базы nuclei-templates, её ежедневно пополняют исследователи со всего мира. Появилась новая уязвимость — проверяем ваши сайты сразу, не дожидаясь скана по расписанию. На Pro такие проверки встают в очередь первыми.

Вторая линия — ручная. Под серьёзные уязвимости мы пишем проверки сами, точнее публичных. Важнее всего это в первые дни после громкой уязвимости вроде Log4Shell: атаки уже идут, а готовой проверки в открытой базе ещё нет.

Кто устраняет найденные уязвимости?

Вы или ваш разработчик: доступа к серверу у VulnEye нет. К каждой находке сервис даёт готовый промпт для нейросети (Claude Code, Cursor) и инструкцию по исправлению, которую можно передать разработчику. Когда уязвимость исправлена, VulnEye сам это заметит и закроет находку.

Кто видит результаты сканирования?

Только вы. Находки не передаются третьим лицам, персональные данные обрабатываются по 152-ФЗ. Исключение — разбор находки нейросетью, и только когда вы сами его запускаете. Перед отправкой домен, IP и секреты заменяются заглушками: модель видит суть уязвимости, но не знает, чей это сайт. Подробнее в политике обработки персональных данных.

Кто делает VulnEye?

Меня зовут Нурислам, я делаю VulnEye. Мой опыт в информационной безопасности — реальные находки в зарубежных компаниях по программам bug bounty, онлайн-CTF и практические лаборатории. Плюс коммерческая разработка на C++, C#, PHP и Python. Реквизиты ИП в подвале страницы. Работаем по оферте.

vulneye наблюдает · 24/7

Карта вашего периметра уже сегодня

Подключение занимает пару минут. Всё остальное VulnEye делает сам и сообщает, когда есть что сказать.

Подключить домен бесплатно

бесплатно навсегда · без карты · 2 минуты на подключение

  1. 2 минутыДобавили домен и TXT-запись. Владение подтверждено, первый скан уже идёт.
  2. сегодняКарта периметра: поддомены, живые сервисы, открытые порты и технологии.
  3. к вечеруПервые находки с разбором на русском и оценкой срочности.
  4. дальшеНовая дыра или вернувшаяся старая: придёт уведомление в Telegram или на почту.
Подключить домен