Аудитор конфигурации SSH-сервера
Вставьте свой sshd_config или загрузите файл. Проверка выполняется полностью в вашем браузере — ничего не загружается — и вы получаете оценку, замечания по строкам и усиленную конфигурацию для скачивания.
sshd_config — это файл, который решает, кто может войти на ваш сервер и как: вход root, аутентификация по паролю, какие шифры и алгоритмы обмена ключами предлагаются и как долго живут бездействующие сеансы. Этот инструмент проверяет ваш sshd_config в браузере по рекомендациям Mozilla OpenSSH и значениям по умолчанию OpenSSH 10.6, ставит оценку от 0 до 100, перечисляет каждое замечание по строкам и создаёт усиленную конфигурацию для скачивания. Он понимает семантику «первое совпадение побеждает», блоки Match и строки Include, поэтому чистая первая страница не скроет слабый блок Match. Для генерации ключей используйте набор ключей SSH; чтобы проверить, не утёк ли пароль, — проверку утечек паролей; а если секрет когда-нибудь попадёт в конфигурацию, его найдёт сканер утёкших секретов. Сопутствующая статья как усилить конфигурацию SSH-сервера объясняет те же настройки словами.
База: рекомендации Mozilla OpenSSH + значения по умолчанию OpenSSH 10.6, проверено 2026-11-13.
Последнее обновление:
🔒 Ваша конфигурация разбирается в вашем браузере и никогда не покидает ваше устройство. Без учётной записи, без загрузки, без обращений к серверу.
Что происходит с вставленной конфигурацией
Ничто не покидает ваш браузер. Конфигурация разбирается локально JavaScript на этой странице: без загрузки, без обращений к серверу, без хранения, без учётной записи. Это важно, потому что конфигурация сервера — это детали инфраструктуры: имена хостов, пользователи, разрешённые пользователи и порты, — и её никогда не следует вставлять в чат или в серверный проверщик. Закрытие страницы удаляет её.
Чего эта оценка НЕ доказывает
Чистая оценка — не доказательство безопасности. Она означает лишь, что в этом файле по этой базе нет помеченных директив: слабый ключ, утёкшие учётные данные, непропатченный sshd или отсутствующий firewall всё ещё могут всё разрушить.
Плохая оценка — не доказательство взлома. Это список настроек для изменения в порядке приоритета: сначала ошибки, затем предупреждения.
Базы меняются. Эта проверка датирована 2026-11-13 по рекомендациям Mozilla OpenSSH и значениям по умолчанию OpenSSH 10.6; алгоритм, современный сегодня, завтра может устареть. Проверяйте заново после обновления sshd.
Как строится оценка
Каждая ошибка стоит 15 баллов, каждое предупреждение — 7; примечания ничего не стоят. Замечания внутри блоков Match условны — они применяются только к сеансам, подходящим под блок, поэтому перечисляются, но не снижают оценку. Четыре диапазона намеренно грубые: 80–100 — высокий, 60–79 — средний, 40–59 — низкий, 0–39 — плохой; более тонкая шкала притворялась бы точностью, которой у аудита конфигурации нет.
Как работает проверка
sshd читает каждую директиву один раз: для каждого ключевого слова побеждает первое встреченное значение, а последующие дубликаты молча игнорируются. Этот инструмент называет действующую строку и помечает скрытый дубликат, поэтому «исправленная» строка ниже первой его не обманет. Отсутствующая директива проверяется по её значению по умолчанию в OpenSSH — отсутствие никогда не считается прохождением, когда само значение по умолчанию слишком разрешительное, и именно поэтому PasswordAuthentication — самое частое замечание в нетронутых конфигурациях.
Директивы внутри блока Match применяются только к сеансам, подходящим под его критерии, поэтому замечания там условны: они перечисляются вместе с блоком, к которому принадлежат, но не снижают оценку. Строки Include помечаются как не отслеживаемые — включённые файлы никогда не читаются, поэтому директива, живущая только во включённом файле, невидима для этой проверки. Для полной проверки вставьте объединённую конфигурацию (sshd -T выводит действующую конфигурацию).
Этот инструмент читает файл, а не работающий сервер: он не видит, использует ли sshd на самом деле эту конфигурацию, насколько сильны ваши ключи и защищает ли firewall или fail2ban порт. Отключить только PasswordAuthentication недостаточно, если PAM всё ещё может принимать пароли, — проверьте также KbdInteractiveAuthentication и ваш стек PAM. А смена порта — это скрытность, а не усиление: это отмечается, но никогда не оценивается.
Частые вопросы
Почему PasswordAuthentication — самое частое замечание?
Потому что значение по умолчанию в OpenSSH — yes: большинство дистрибутивов поставляются с включённым входом по паролю, и многие операторы никогда его не отключают. Отключить его — и проверить KbdInteractiveAuthentication и PAM, которые всё ещё могут принимать пароли, — гораздо важнее, чем сменить порт, который лишь переносит приглашение входа.
Моя конфигурация разбита по файлам Include. Почему проверка их игнорирует?
Этот инструмент работает в вашем браузере и не может читать файловую систему вашего сервера, поэтому строки Include помечаются как не отслеживаемые, а не молча пропускаются. Вставьте вместо этого объединённую конфигурацию: sshd -T выводит действующую конфигурацию со всеми разрешёнными include, и именно для этого файла предназначена проверка.
Можно ли сразу положить усиленную конфигурацию на сервер?
Нет — сначала просмотрите её. Скачивание переписывает помеченные директивы на базовые значения и комментирует удалённые или скрытые строки, но не знает ваших блоков Match, пользователей и сети. Проверьте её командой sshd -t, держите один сеанс открытым и проверьте второй вход, прежде чем закрывать первый.