Hlídač státních webů

Jak měříme dostupnost státních webů

Měříme každou minutu, zda důležité weby státu vůbec běží, a pokud ano, tak jak rychle odpovídají. A tomu odpovídají i zobrazené barvy. Pokud služba odpovídá rychle, dáváme zelenou - v pořádku. Pokud odpovídá déle, dáváme oranžovou - pomalá odpověď.. Pokud neodpoví nebo odpoví za dlouhou dobu, použijeme červenou za nedostupnost.

Rychlost odpovědi je snadno a přesně měřitelná a současně je z hlediska uživatele velmi důležitá.

Pokud služba reaguje déle než 0.5 sekundy, uživatel má dojem, že je služba pomalá. Pokud odpoví pomaleji než za 2 sekundy, pak většina uživatelů předpokládá, že služba neběží.
(zkuste kliknout na odkaz, pak si v hlavě pomalu odříkat 21, 22 a teprve poté uvidíte reakci na předchozí kliknutí)

Dlouhodobá doporučení pro internetové služby říkají, že server má reagovat maximálně do půl sekundy, aby to bylo pro uživatele komfortní a očekávané. Google doporučuje dokonce reakci do 0.2 sekundy.

Více do hloubky

Technicky řečeno měříme response time HTTP(s) rozhraní služby, neboli čas od odeslání HTTP/1.1 požadavku do doručení posledních dat stránky v milisekundách. Pokud některé služby měříme pomocí volání více stránek, pak počítáme aritmerický průměr response time jednotlivých stránek. Součástí měření je pouze požadavek na HTML stránku (či stránky) služby, nenačítáme a neměříme response time ve stránce používané obrázky, CSS styly, javascript a další odkazovaný obsah.

Pro samotné měření používáme profesionální systém Zabbix z jednoho měřícího bodu v síti Master Internet. Druhé a třetí měřící místo v ČR připravujeme.

Rating HTTPS webů

HTTPS (Hypertext Transfer Protocol Secure) je v protokol umožňující zabezpečenou komunikaci protokoly HTTP a SSL/TLS mezi prohlížečem uživatele a vzdáleným serverem státu. Všeobecně se doporučuje podporovat HTTPS místo nezabezpečeného HTTP pro všechny webové stránky. Proč?

HTTPS zajišťuje nejen utajení (šifrování) přenášeného obsahu, ale zejména prokazuje identitu serveru, tj. dává uživateli jistotu, že komunikuje skutečně se správným serverem, ne podvrženým. Proto je nezbytností nejenom na webech, kde se zadávají citlivé údaje, ale i na webech, které publikují jakékoliv veřejné informace, které mají být důvěryhodné.

Pro hodnocení používáme světovou autoritu v této oblasti, SSL Server Test od Qualys SSL Labs.
Systém hodnocení HTTPS je jednoduchý:

Zelená známka A+, A nebo A-

Všechno je v nejlepším pořádku a web se drží doporučených postupů

Žlutá známka B,C,D,E

Služba se nedrží doporučených postupů a jeho nastavení je zastaralé. Sice to neznamená bezprostřední a snadno zneužitelné ohrožení, ale je to znak špatně spravovaného serveru a útok je za určitých okolností možný.

Červené F

Failed. Web sice podporuje HTTPS, ale jeho parametry jsou nastavené tak špatně, že je skoro spíš na škodu, protože vzbuzuje falešný pocit bezpečí.

Červené M

Služba používá certifikát, který byl vystaven pro jiný název serveru. Může se jednat o chybu v konfiguraci serveru, ale také o to, že na dané IP adrese běží jiný HTTPS web, než jaký testujeme.

Červené T

Služba je chráněna certifikátem, který nevydala certifikační autorita, která není obecně pokládána za důvěryhodnou. V českých podmínkách to znamená nejspíše certifikáty vydané našimi vnitrostátními autoritami (ICA, PostSignum a eIdentity), které sice stát zákonem prohlásil za důvěryhodné, ale které nesplňují mezinárodní podmínky nutné proto, aby je za důvěryhodné pokládali i autoři prohlížečů.

Červené X

Daná služba HTTPS nepodporuje vůbec

Open data

Naměřená data dáváme volně k dispozici v JSON formátu. Více informací na stránce Open dat.

Poděkování a spoluautorství

Na vzniku a provozu této služby se podíleli a podílí Michal Bláha (Web, Zabbix, API, data), Filip Ševčík (Zabbis, Node.js, Google API, data), Štefan Čanda (data), Ivo Večeřa (data), Michal Altair Valášek (Dev, SSL Labs, texty).

Díky moc.

Další služby