Przeciętne

Wyniki oceny

luigisbox.sk

Przeskanowano 8 października 2026

WordPress
jQuery
Slick Slider
Fancybox
Cloudflare
Ostatnie skanowanie: 8 października 2026
Podsumowanie od AI

Your site is reasonably optimized but has critical security gaps. Enable HSTS protection in WordPress settings immediately to secure data transmission. Your SEO and GDPR compliance are solid strengths.

Plan działania

Plan działań według wpływu i nakładu pracy

Każdy znaleziony problem, uporządkowany według tego, ile da jego naprawa i ile wymaga pracy. Zacznij od szybkich wygranych.

Jak oceniamy →

Szybkie wygrane

5

Duży wpływ, mało pracy. Zrób je najpierw.

Większe projekty

8

Duży wpływ, ale naprawa wymaga planowania.

+3 więcej

Drobne poprawki

22

Mniejszy wpływ, szybko zrobione.

+17 więcej

Później

24

Mniejszy wpływ i więcej pracy. Zaplanuj je, gdy reszta będzie gotowa.

+19 więcej

Wydajność

Waga: 25% · 14 zaliczonych · 4 ostrzeżenia · 0 nieudanych · 2 SPA (sprawdź ręcznie)

Co znaleźliśmy: 4.81 s (dobrze: <3,4 s)

Dlaczego to ma znaczenie: Speed Index oddaje ogólne wrażenie wizualne podczas ładowania. Wolny Speed Index oznacza, że użytkownicy obserwują ładowanie treści fragment po fragmencie zamiast widzieć gotową stronę.

Jak to naprawić: Speed Index mierzy wizualną kompletność w czasie. Poprawisz go: priorytetyzując treść nad linią zgięcia, wstępnie ładując krytyczne zasoby i minimalizując zasoby blokujące renderowanie.
Dowód:PSI-lab· Pewność: high
Poproś o audyt szybkości

Co znaleźliśmy: 51 KB nieużywanych (CSS: 18 KB, JS: 33 KB)

Dlaczego to ma znaczenie: Nieużywany kod jest pobierany i parsowany, ale nigdy nie wykonywany - czysta strata. Jego usunięcie przyspiesza parsowanie i zmniejsza zużycie łącza.

Uwaga: Ta kontrola wykorzystuje detekcję heurystyczną i może zwracać również fałszywe alarmy. Zalecamy ręczną weryfikację.

Jak to naprawić: Usuń nieużywany CSS za pomocą PurgeCSS lub UnCSS. Podziel JavaScript tak, aby na każdej stronie ładował się tylko potrzebny kod. Przejrzyj wtyczki - każda dodaje CSS/JS.
Dowód:PSI-lab· Pewność: low

Dlaczego to ma znaczenie: Preconnect oszczędza 100-500 ms na każde źródło zewnętrzne, wcześnie nawiązując połączenia. Preload zaczyna pobierać krytyczne zasoby, zanim przeglądarka odkryje je w CSS/JS.

Jak to naprawić: Dodaj wskazówki dla zasobów: <link rel='preconnect' href='https://fonts.googleapis.com'> dla źródeł zewnętrznych, <link rel='preload' as='image' href='hero.webp'> dla krytycznych zasobów.
Dowód:HTML-heuristic· Pewność: high
Poproś o audyt szybkości

Co znaleźliśmy: Wykryto własne czcionki bez wskazówek preload

Dlaczego to ma znaczenie: Czcionki są wykrywane późno w potoku renderowania (po sparsowaniu CSS). Wstępne ładowanie każe przeglądarce pobrać je natychmiast, redukując Flash of Invisible Text (FOIT) o 200-500 ms.

Jak to naprawić: Wstępnie załaduj swoją główną czcionkę: <link rel='preload' href='/fonts/main.woff2' as='font' type='font/woff2' crossorigin>. Dla Google Fonts: preconnect do fonts.gstatic.com.
Dowód:HTML-heuristic· Pewność: high
Poproś o audyt szybkości

4 problemów w kategorii Wydajność. Jest miejsce na poprawę.

Twój sklep na razie nie spełnia warunków dla odznaki Zulien Score. Uzyskaj ocenę 80+!

📧 Przypomnienia o ponownym skanowaniu

Raz w miesiącu napiszemy do Ciebie, kiedy zrobić nowe skanowanie i śledzić swoje postępy.

🚀 Popraw swoją ocenę

Nasze moduły PrestaShop potrafią automatycznie naprawić większość tych problemów.

Bezpłatna 15-min konsultacja · Bez zobowiązań

Udostępnij i eksportuj

Gotowy, by poprawić swoją ocenę?

Napraw samodzielnie

Przejrzyj nasze moduły i napraw problemy w 2 kliknięciach.

Przeglądaj moduły Zulien

Zostaw to nam

Opisz swój cel, a w ciągu 48 h prześlemy Ci wycenę. Bez rozmów telefonicznych.

Uzyskaj wycenę

Odpowiedź w ciągu 48 h · Bez rozmowy telefonicznej

To zautomatyzowany szacunek heurystyczny, nie profesjonalny audyt. Wykryte zagadnienia odzwierciedlają publicznie obserwowalne sygnały w momencie skanowania i mogą zawierać również nieprawidłowe wskazania.Przeczytaj o naszej metodologiiZgłoś nieścisłośćUsuń ten raport
Full e-commerce audit — 50+ checks across 7 categories
78/100
Grade C
luigisbox.sk
Data audytu: 8 października 2026
Platforma: WordPress
Raport online: https://score.zulien.sk/r/luigisbox.sk
Wygenerowano · score.zulien.sk · by Zulien

Podsumowanie

11
Błędy
48
Ostrzeżenia
82
OK
151
Kontroli łącznie

Wyniki wg kategorii

KategoriaWynikWagaBłędyOstrzeżeniaOK
Wydajność91/10025%0414
SEO88/10020%0620
Bezpieczeństwo55/10015%385
Mobile85/10010%158
Gotowość AI80/10010%11218
Prawo i RODO81/10010%057
Podatności57/10010%565
Dostępność / EAA66/10010%125

Krytyczne ustalenia

HSTS (Strict-Transport-Security)· Bezpieczeństwo
Bez HSTS atakujący mogą przechwycić pierwsze żądanie HTTP i obniżyć poziom połączenia, aby wykraść pliki cookie sesji w publicznej sieci WiFi.
Content-Security-Policy (CSP)· Bezpieczeństwo
CSP to silna obrona przed atakami XSS. Bez niej każdy wstrzyknięty skrypt działa z pełnymi uprawnieniami. CSP blokuje wstrzykiwanie skryptów inline.
Ochrona przed clickjackingiem· Bezpieczeństwo
Clickjacking nakłada Twoją stronę w ukrytej ramce iframe. Atakujący nakłaniają użytkowników do klikania przycisków (np. 'Potwierdź zakup'), a oni nie zdają sobie z tego sprawy.
Etykiety pól formularza (WCAG 3.3.2)· Mobile
EAA 2026 (European Accessibility Act) wchodzi w życie 28.6.2025. Sklepy internetowe powyżej 10 pracowników lub €2M obrotu muszą być zgodne z WCAG 2.1 AA — brakujące etykiety należą do najczęstszych błędów, z których można pozwać.
Jakość tekstu alt obrazów dla AI· Gotowość AI
Słaby tekst alt oznacza, że Twoje obrazy produktów są niewidoczne dla wizualnego wyszukiwania AI (Google Lens, Bing Visual Search). Jest to również wymóg dostępności (WCAG 2.1 AA) — wiele regionów egzekwuje go prawnie.
Ochrona formularzy CSRF· Podatności
CSRF znajduje się w OWASP Top 10. Bez tokenów atakujący mogą tworzyć strony, które automatycznie wysyłają formularze na Twojej witrynie w ramach sesji przeglądarki ofiary.
Podejrzane wzorce skryptów inline· Podatności
Te wzorce (dekodowanie Base64, eval z kodowaniem, dynamiczne wstrzykiwanie skryptów) to cechy charakterystyczne skimmerów płatności Magecart. Skimmery są na stronach e-commerce zwykle maskowane jako Google Tag Manager.
Rekord SPF (bezpieczeństwo e-maili)· Podatności
Bez SPF każdy może wysyłać e-maile, które wyglądają, jakby pochodziły z Twojej domeny. Od 2024 roku Google i Yahoo odrzucają e-maile z domen bez SPF. Twoje e-maile transakcyjne mogą trafiać do spamu.
Polityka DMARC (uwierzytelnianie e-maili)· Podatności
Bez DMARC atakujący mogą wysyłać idealnie sfałszowane e-maile w imieniu Twojej marki. Od maja 2025 Google, Yahoo i Microsoft wymagają DMARC dla masowych nadawców. Brak DMARC = problemy z dostarczalnością e-maili.
Bezpieczeństwo strony płatności· Podatności
Strony płatności bez odpowiednich nagłówków bezpieczeństwa naruszają PCI DSS i znacznie ułatwiają kradzież danych kart. Operatorzy płatności mogą nakładać miesięczne kary za brak zgodności.
Etykiety pól· Dostępność / EAA
Pola bez etykiet zmuszają użytkownika czytnika do zgadywania — wyszukiwarka, newsletter i kasa stają się bezużyteczne. EN 301 549 § 9.1.3.1 / 9.4.1.2 (WCAG 1.3.1 / 4.1.2).

Plan działań według wpływu i nakładu pracy

Każdy znaleziony problem, uporządkowany według tego, ile da jego naprawa i ile wymaga pracy. Zacznij od szybkich wygranych.

Szybkie wygrane (5)

Duży wpływ, mało pracy. Zrób je najpierw.

UstalenieKategoriaNakład pracy
HSTS (Strict-Transport-Security)Bezpieczeństwoszybka poprawka
Ochrona przed clickjackingiemBezpieczeństwoszybka poprawka
Listowanie katalogówPodatnościszybka poprawka
Rekord SPF (bezpieczeństwo e-maili)Podatnościszybka poprawka
Polityka DMARC (uwierzytelnianie e-maili)Podatnościszybka poprawka

Większe projekty (8)

Duży wpływ, ale naprawa wymaga planowania.

UstalenieKategoriaNakład pracy
Content-Security-Policy (CSP)Bezpieczeństwook. dzień
Etykiety pól formularza (WCAG 3.3.2)Mobileok. dzień
Jakość tekstu alt obrazów dla AIGotowość AIok. dzień
Ochrona formularzy CSRFPodatnościok. dzień
Zasoby mieszanej treściPodatnościok. dzień
Bezpieczeństwo strony płatnościPodatnościok. dzień
Etykiety pólDostępność / EAAok. dzień
Podejrzane wzorce skryptów inlinePodatnościprojekt

Drobne poprawki (22)

Mniejszy wpływ, szybko zrobione.

UstalenieKategoriaNakład pracy
Meta titleSEOszybka poprawka
XML SitemapSEOszybka poprawka
Spójność kanonicznego URLSEOszybka poprawka
Puste/martwe linkiSEOszybka poprawka
Spójność hosta mapy witrynySEOszybka poprawka
DNSSECBezpieczeństwoszybka poprawka
Rekord DNS CAABezpieczeństwoszybka poprawka
X-Content-Type-OptionsBezpieczeństwoszybka poprawka
Referrer-PolicyBezpieczeństwoszybka poprawka
Permissions-PolicyBezpieczeństwoszybka poprawka
Subresource Integrity (SRI)Bezpieczeństwoszybka poprawka
security.txt (RFC 9116)Bezpieczeństwoszybka poprawka

+10 więcej

Później (24)

Mniejszy wpływ i więcej pracy. Zaplanuj je, gdy reszta będzie gotowa.

UstalenieKategoriaNakład pracy
Optymalizacja formatu obrazówSEOok. dzień
Rozmiar celów dotykowychMobileok. dzień
Czytelność rozmiaru czcionkiMobileok. dzień
Rozmiar inline CSSMobileok. dzień
Jakość tekstu linków (WCAG 2.4.4)Mobileok. dzień
Schemat FAQ (bezpośrednie odpowiedzi dla AI)Gotowość AIok. dzień
Polityka cookiesPrawo i RODOok. dzień
Strona RegulaminPrawo i RODOok. dzień
Międzynarodowe transfery danychPrawo i RODOok. dzień
Prawo do usunięcia danych (bycia zapomnianym)Prawo i RODOok. dzień
Zgoda na newsletterPrawo i RODOok. dzień
Ekspozycja inline JavaScriptPodatnościok. dzień

+12 więcej

Wydajność

91/100
Waga: 25% · 14 OK · 4 ostrzeżeń · 0 błędów · łącznie 20
Speed IndexOstrzeżenie
4.81 s (dobrze: <3,4 s)
Dlaczego to ważne: Speed Index oddaje ogólne wrażenie wizualne podczas ładowania. Wolny Speed Index oznacza, że użytkownicy obserwują ładowanie treści fragment po fragmencie zamiast widzieć gotową stronę.
Jak naprawić: Speed Index mierzy wizualną kompletność w czasie. Poprawisz go: priorytetyzując treść nad linią zgięcia, wstępnie ładując krytyczne zasoby i minimalizując zasoby blokujące renderowanie.
Nieużywany kod (CSS + JS)Ostrzeżenie
51 KB nieużywanych (CSS: 18 KB, JS: 33 KB)
Dlaczego to ważne: Nieużywany kod jest pobierany i parsowany, ale nigdy nie wykonywany - czysta strata. Jego usunięcie przyspiesza parsowanie i zmniejsza zużycie łącza.
Jak naprawić: Usuń nieużywany CSS za pomocą PurgeCSS lub UnCSS. Podziel JavaScript tak, aby na każdej stronie ładował się tylko potrzebny kod. Przejrzyj wtyczki - każda dodaje CSS/JS.
Wskazówki dla zasobów (Preload/Preconnect)Ostrzeżenie
Dlaczego to ważne: Preconnect oszczędza 100-500 ms na każde źródło zewnętrzne, wcześnie nawiązując połączenia. Preload zaczyna pobierać krytyczne zasoby, zanim przeglądarka odkryje je w CSS/JS.
Jak naprawić: Dodaj wskazówki dla zasobów: <link rel='preconnect' href='https://fonts.googleapis.com'> dla źródeł zewnętrznych, <link rel='preload' as='image' href='hero.webp'> dla krytycznych zasobów.
Wstępne ładowanie czcionekOstrzeżenie
Wykryto własne czcionki bez wskazówek preload
Dlaczego to ważne: Czcionki są wykrywane późno w potoku renderowania (po sparsowaniu CSS). Wstępne ładowanie każe przeglądarce pobrać je natychmiast, redukując Flash of Invisible Text (FOIT) o 200-500 ms.
Jak naprawić: Wstępnie załaduj swoją główną czcionkę: <link rel='preload' href='/fonts/main.woff2' as='font' type='font/woff2' crossorigin>. Dla Google Fonts: preconnect do fonts.gstatic.com.
Czas odpowiedzi serwera (TTFB)Zaliczone
41 ms
First Contentful Paint (FCP)Zaliczone
0.65 s
Largest Contentful Paint (LCP)Zaliczone
0.81 s – Core Web Vital ✓
Total Blocking Time (TBT)Zaliczone
40 ms
Cumulative Layout Shift (CLS)Zaliczone
0.001 – Core Web Vital ✓
Całkowita waga stronyZaliczone
669 KB (56 żądań)
Budżet JavaScriptZaliczone
130 KB — w ramach budżetu 600 KB
Dlaczego to ważne: JavaScript to najdroższy zasób na stronie: musi zostać pobrany, sparsowany i wykonany, zanim strona zareaguje na działanie użytkownika. Utrzymanie się poniżej 600 KB jest tym, co zachowuje responsywność telefonów ze średniej półki.
Budżet zapytańZaliczone
56 zapytań — w ramach budżetu 80
Dlaczego to ważne: Każde zapytanie kosztuje jeden obieg do serwera. W HTTP/2 dzielą połączenie, ale każde nadal musi zostać wykryte, ustawione w kolejce i przetworzone.
Kompresja tekstu (gzip/brotli)Zaliczone
Wszystkie zasoby tekstowe są prawidłowo skompresowane
Leniwe ładowanieZaliczone
5 % obrazów używa natywnego leniwego ładowania (23/425)
Strategia ładowania czcionekZaliczone
font-display: swap
Strategia Cache-ControlZaliczone
max-age=86400
Wsparcie HTTP/3 (QUIC)Zaliczone
HTTP/3 włączone przez nagłówek Alt-Svc
Strategia ładowania skryptówZaliczone
85 % skryptów używa async/defer/module (3 async, 14 defer, 0 module)
Usługi zewnętrzneInfo
Nie zmierzono — PageSpeed nie zwrócił audytu usług zewnętrznych dla tego adresu
Dlaczego to ważne: Raportujemy to jako niezmierzone, a nie jako zero usług zewnętrznych, bo to bardzo różne ustalenia.
Jak naprawić: Uruchom skan ponownie albo sprawdź podsumowanie usług zewnętrznych bezpośrednio w PageSpeed Insights.
Zasoby blokujące renderowanieInfo
Nie zmierzono - PageSpeed nie zwrócił audytu zasobów blokujących renderowanie dla tego URL
Jak naprawić: Uruchom skan ponownie lub przetestuj bezpośrednio w PageSpeed Insights. Ta metryka wymaga udanego przebiegu laboratoryjnego Lighthouse.
Kategoria 1 / 8 · luigisbox.sk · Zulien Score

SEO

88/100
Waga: 20% · 20 OK · 6 ostrzeżeń · 0 błędów · łącznie 27
Meta titleOstrzeżenie
70 znaków (optymalnie: 30-60)
Dlaczego to ważne: Przycięte tytuły obniżają współczynnik klikalności, ponieważ użytkownik nigdy nie widzi całego przekazu.
Jak naprawić: Skróć title poniżej 60 znaków. Google przycina dłuższe tytuły znakiem '…', co ucina część przekazu.
XML SitemapOstrzeżenie
Could not be retrieved in time — not verified
Dlaczego to ważne: We could not confirm either way within the probe budget, so this is not a finding about your sitemap — it is a note that the check did not complete. A slow-to-generate sitemap is worth caching regardless.
Jak naprawić: Check /sitemap.xml yourself. If it is generated on every request, cache it to a static file: a sitemap that takes seconds to build is also slow for Googlebot, which fetches it regularly.
Optymalizacja formatu obrazówOstrzeżenie
Tylko 10% formatów nowej generacji — pozostaje 2 starych obrazów
Dlaczego to ważne: Obrazy WebP/AVIF są o 30-70% mniejsze niż JPEG/PNG przy tej samej jakości. Bezpośrednio poprawia to szybkość strony, LCP i doświadczenie mobilne.
Jak naprawić: Przekonwertuj pozostałe obrazy JPEG/PNG na WebP (o 30-50% mniejsze) lub AVIF (o 50-70% mniejsze). Użyj elementu <picture> jako rozwiązania awaryjnego dla przeglądarek.
Spójność kanonicznego URLOstrzeżenie
Canonical wskazuje na inny URL: https://www.luigisbox.sk/
Dlaczego to ważne: Niepasujący canonical mówi Google, że ta strona jest duplikatem innego URL. Jeśli jest to niezamierzone, Google może całkowicie zignorować tę stronę na rzecz kanonicznego celu.
Jak naprawić: Twój kanoniczny URL nie zgadza się z URL bieżącej strony. Upewnij się, że canonical wskazuje na preferowaną wersję (ze slashem końcowym lub bez, www vs non-www). Niespójne znaczniki kanoniczne dezorientują wyszukiwarki.
Puste/martwe linkiOstrzeżenie
10 martwych linków (0 pustych, 10 tylko z hashem, 0 javascript:void)
Dlaczego to ważne: Martwe linki marnują crawl budget i dezorientują wyszukiwarki. Tworzą też złe doświadczenie użytkownika — użytkownicy klikają, oczekując nawigacji, a nic się nie dzieje.
Jak naprawić: Zastąp puste href='', href='#' i href='javascript:void(0)' rzeczywistymi adresami URL. Jeśli są interaktywne, użyj <button> zamiast <a>.
Spójność hosta mapy witrynyOstrzeżenie
robots.txt Sitemap wskazuje na www.luigisbox.com (strona to luigisbox.sk)
Dlaczego to ważne: Google pobiera mapę witryny z hosta zadeklarowanego w robots.txt. Domena staging albo ujawnia tam środowisko, które nie może być indeksowane, albo wysyła każde indeksowanie na niewłaściwy host — dzieląc sygnały rankingowe i marnując crawl budget.
Jak naprawić: Zaktualizuj wiersz Sitemap: w robots.txt na Twój kanoniczny host. Nazwa hosta staging/dev (new., staging., dev.) ujawnia Google środowisko przedprodukcyjne i karmi roboty adresami URL, które zwracają 404 lub duplikują żywą witrynę.
Meta opisZaliczone
137 znaków
Nagłówek H1Zaliczone
"Pre výnimočné vyhľadávanie a odporúčanie produktov"
Struktura treści (nagłówki H2)Zaliczone
Znaleziono 9 podnagłówków H2
Znaczniki Open GraphZaliczone
og:title, og:description, og:image, og:type
Format obrazu Open GraphZaliczone
image/webp
Karty Twitter/XZaliczone
Typ karty: summary_large_image
Kanoniczny URLZaliczone
https://www.luigisbox.sk/
Dane strukturalne (JSON-LD)Zaliczone
3 blok(ów): Place, PostalAddress, Organization, ImageObject
Poprawność JSON-LDZaliczone
3 blok(ów) parsuje się bez błędów
robots.txtZaliczone
Obecny, odwołuje się do sitemap
Atrybut języka HTMLZaliczone
lang="sk-SK"
Znaczniki hreflang (wielojęzyczne)Zaliczone
10 język(ów): en, sk, cs, pl, de
Atrybuty alt obrazówZaliczone
100% z 425 obrazów ma tekst alt
Znacznik meta robotsZaliczone
follow, index, max-snippet:-1, max-video-preview:-1, max-image-preview:large
FaviconZaliczone
Wykryto favicon
Semantyczna struktura HTMLZaliczone
4/6 elementów semantycznych: <nav>, <main>, <header>, <footer>
Głębia treściZaliczone
1801 słów — wystarczająca treść
Głęboka hierarchia nagłówkówZaliczone
H2: 9, H3: 34 — dobrze ustrukturyzowana treść
Linkowanie wewnętrzneZaliczone
20 linków wewnętrznych — silna nawigacja witryny
Podstawy dostępnościZaliczone
3/4 sygnałów dostępności: 1 ARIA roles, 9 ARIA labels, lang="sk-SK"
Stosunek tekstu do HTMLInfo
Stosunek 2%, ale 1801 słów — treść jest wystarczająca; niski stosunek to rozdęty kod/inline JS, a nie uboga treść
Dlaczego to ważne: Stosunek tekstu do HTML jest sygnałem ubogiej treści tylko wtedy, gdy niska jest również faktyczna liczba słów. Przy ponad 500 słowach wyszukiwarki mają na czym oprzeć ranking.
Jak naprawić: Twoja treść tekstowa jest wystarczająca. Aby podnieść stosunek, przenieś inline <script>/<style> do zewnętrznych plików i usuń rozdęcie szablonów — to zysk w wydajności/czystości kodu, a nie brak treści.
Kategoria 2 / 8 · luigisbox.sk · Zulien Score

Bezpieczeństwo

55/100
Waga: 15% · 5 OK · 8 ostrzeżeń · 3 błędów · łącznie 16
HSTS (Strict-Transport-Security)Niezaliczone
Dlaczego to ważne: Bez HSTS atakujący mogą przechwycić pierwsze żądanie HTTP i obniżyć poziom połączenia, aby wykraść pliki cookie sesji w publicznej sieci WiFi.
Jak naprawić: Dodaj nagłówek: Strict-Transport-Security: max-age=31536000; includeSubDomains; preload - następnie zgłoś domenę na hstspreload.org.
Content-Security-Policy (CSP)Niezaliczone
Dlaczego to ważne: CSP to silna obrona przed atakami XSS. Bez niej każdy wstrzyknięty skrypt działa z pełnymi uprawnieniami. CSP blokuje wstrzykiwanie skryptów inline.
Jak naprawić: Wdróż nagłówek CSP. Zacznij od: Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: - a następnie stopniowo go zaostrzaj.
Ochrona przed clickjackingiemNiezaliczone
Dlaczego to ważne: Clickjacking nakłada Twoją stronę w ukrytej ramce iframe. Atakujący nakłaniają użytkowników do klikania przycisków (np. 'Potwierdź zakup'), a oni nie zdają sobie z tego sprawy.
Jak naprawić: Dodaj X-Frame-Options: DENY (lub SAMEORIGIN, jeśli potrzebujesz ramek iframe). Lepiej: użyj CSP frame-ancestors 'self'.
DNSSECOstrzeżenie
Brak rekordów DNSKEY - strefa nie jest podpisana
Dlaczego to ważne: Bez DNSSEC atakujący kontrolujący pośrednie resolwery mogą sfałszować odpowiedzi dla Twojej domeny - i wysłać użytkowników na strony phishingowe z prawidłowym HTTPS, które pasują do Twojej nazwy. Krajowe zespoły CSIRT w UE (SK-CERT, NÚKIB) zalecają DNSSEC dla wszystkich objętych podmiotów.
Jak naprawić: Włącz DNSSEC u swojego dostawcy DNS (większość nowoczesnych rejestratorów oferuje aktywację jednym kliknięciem: Cloudflare, Route 53, Google Cloud DNS, web.sk, websupport.sk). Następnie zweryfikuj przez dnsviz.net.
Rekord DNS CAAOstrzeżenie
Brak rekordów CAA - certyfikaty dla tej domeny może wydać dowolny urząd certyfikacji
Dlaczego to ważne: Rekordy CAA ograniczają, które urzędy certyfikacji mogą wydawać certyfikaty dla Twojej domeny. Bez CAA zaatakowany lub nieuczciwy urząd może wydać prawidłowe certyfikaty, którym przeglądarki będą ufać - udokumentowany wzorzec naruszenia (DigiNotar 2011, Symantec 2017).
Jak naprawić: Opublikuj rekordy CAA TXT przypinające Twój urząd certyfikacji. Dla Let's Encrypt: `0 issue "letsencrypt.org"`. Dla wielu urzędów dodaj kolejne rekordy `0 issue "..."`. Dodaj `0 iodef "mailto:security@yourdomain.tld"` dla zgłoszeń o błędnym wydaniu.
X-Content-Type-OptionsOstrzeżenie
Dlaczego to ważne: Bez nosniff przeglądarki mogą uruchamiać przesłane pliki jako skrypty. Atakujący mógłby przesłać plik .jpg, który w rzeczywistości jest kodem JavaScript, i nakłonić przeglądarkę do jego uruchomienia.
Jak naprawić: Dodaj nagłówek: X-Content-Type-Options: nosniff
Referrer-PolicyOstrzeżenie
Dlaczego to ważne: Bez polityki referrer przeglądarki wysyłają pełne adresy URL stronom trzecim. Może to prowadzić do wycieku wrażliwych danych, takich jak tokeny sesji w adresach URL lub wewnętrzne ścieżki stron.
Jak naprawić: Dodaj nagłówek: Referrer-Policy: strict-origin-when-cross-origin - to najlepszy kompromis między funkcjonalnością a prywatnością.
Permissions-PolicyOstrzeżenie
Dlaczego to ważne: Bez Permissions-Policy dowolny skrypt strony trzeciej (reklamy, analityka, widżety czatu) może uzyskać dostęp do kamery, mikrofonu i geolokalizacji bez Twojej wiedzy.
Jak naprawić: Dodaj: Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=() - wyłącz interfejsy API, których Twoja witryna nie potrzebuje.
Subresource Integrity (SRI)Ostrzeżenie
Tylko 0/2 skryptów stron trzecich kwalifikujących się do SRI ma hashe integrity
Dlaczego to ważne: Bez SRI, jeśli przypięty do wersji CDN strony trzeciej zostanie skompromitowany, atakujący mogą wstrzyknąć złośliwy kod do Twojej witryny - ten sam wektor co przy naruszeniu Magecart w British Airways.
Jak naprawić: Do przypiętych do wersji tagów <script> stron trzecich dodaj integrity='sha384-...' i crossorigin='anonymous' (użyj srihash.org). Automatycznie aktualizowane skrypty dostawców (analityka, SDK płatności, narzędzia zgody) są poprawnie wykluczone - nie mogą używać SRI.
security.txt (RFC 9116)Ostrzeżenie
Dlaczego to ważne: security.txt pozwala etycznym hakerom odpowiedzialnie zgłaszać podatności. Bez niego mogą je ujawnić publicznie lub w ogóle nie zgłosić.
Jak naprawić: Utwórz /.well-known/security.txt z polami Contact, Expires i Preferred-Languages. Generator znajdziesz na securitytxt.org.
Sandboxowanie ramek iframeOstrzeżenie
1/1 nieznanych ramek iframe bez atrybutu sandbox
Dlaczego to ważne: Ramki iframe bez sandboxa z nieznanych źródeł mogą uzyskać dostęp do Twojego DOM, uruchamiać skrypty i nawigować okno nadrzędne. Powinny być sandboxowane, aby zapobiec clickjackingowi i XSS.
Jak naprawić: Dodaj atrybut sandbox do elementów <iframe>, które nie należą do dostawców. Do osadzeń stron trzecich użyj sandbox='allow-scripts allow-same-origin'. Zaufane osadzenia multimediów/płatności (YouTube, Maps, Stripe, reCAPTCHA) są poprawnie wykluczone - do działania potrzebują pełnych uprawnień.
Certyfikat SSL/TLSZaliczone
Nawiązano prawidłowe połączenie HTTPS
Przekierowanie HTTP → HTTPSZaliczone
HTTP prawidłowo przekierowuje na HTTPS
Flagi bezpieczeństwa plików cookieZaliczone
1 plik(ów) cookie - wszystkie mają Secure, HttpOnly, SameSite
Ujawnienie technologiiZaliczone
Serwer: cloudflare (bez wersji)
Ochrona CDN / WAFZaliczone
Wykryto Cloudflare - ochrona przed DDoS i buforowanie na brzegu sieci są aktywne
Kategoria 3 / 8 · luigisbox.sk · Zulien Score

Mobile

85/100
Waga: 10% · 8 OK · 5 ostrzeżeń · 1 błędów · łącznie 14
Etykiety pól formularza (WCAG 3.3.2)Niezaliczone
Tylko 0/7 inputów ma etykietę (0%)
Dlaczego to ważne: EAA 2026 (European Accessibility Act) wchodzi w życie 28.6.2025. Sklepy internetowe powyżej 10 pracowników lub €2M obrotu muszą być zgodne z WCAG 2.1 AA — brakujące etykiety należą do najczęstszych błędów, z których można pozwać.
Jak naprawić: 7 elementów input nie ma etykiety. Każdy input musi mieć przypisany <label for="id">Tekst</label> lub aria-label. Placeholder NIE jest etykietą (WCAG 3.3.2). Jeśli to formularz checkoutu/rejestracji — obniża to konwersję i narusza EN 301 549 (EAA 2026).
Rozmiar celów dotykowychOstrzeżenie
Some tappable targets are too small or too close together (Lighthouse tap-targets audit)
Dlaczego to ważne: Małe cele dotykowe powodują błędne kliknięcia na mobile. W e-commerce błędne kliknięcie w 'Usuń z koszyka' zamiast 'Do kasy' bezpośrednio obniża przychody.
Jak naprawić: Zapewnij, aby WSZYSTKIE elementy interaktywne (przyciski, odnośniki, pola formularza) miały co najmniej 48×48px i minimalny odstęp 8px między sobą. Szczególną uwagę zwróć na: menu nawigacyjne, przyciski filtrów, selektory wariantów produktu i odnośniki w stopce.
Czytelność rozmiaru czcionkiOstrzeżenie
Some text renders below the 12px legibility threshold (Lighthouse font-size audit)
Dlaczego to ważne: Tekst mniejszy niż 16px zmusza użytkowników mobilnych do powiększania gestem szczypania. Zaburza to responsywny układ i tworzy frustrujące doświadczenie.
Jak naprawić: Ustaw minimalny rozmiar czcionki 16px dla tekstu podstawowego. Używaj jednostek względnych (rem/em) zamiast px dla skalowalności. Nazwy produktów: 18px+, ceny: 20px+, CTA: 16px+ pogrubione.
Kolor motywuOstrzeżenie
Dlaczego to ważne: Theme-color tworzy dopracowane, markowe doświadczenie mobilne. Dzięki niemu strona wygląda natywnie i profesjonalnie.
Jak naprawić: Dodaj <meta name='theme-color' content='#your-brand-color'> zgodnie z Twoją marką. Przeglądarki użyją tego do pokolorowania paska adresu, przełącznika zadań i interfejsu PWA.
Rozmiar inline CSSOstrzeżenie
340 KB inline CSS
Dlaczego to ważne: Duże bloki inline CSS zwiększają początkowe pobieranie HTML i czas parsowania — szczególnie dotkliwe na mobile z ograniczonym CPU i wolniejszym połączeniem.
Jak naprawić: Przenieś style inline do zewnętrznych plików CSS. Inline CSS większe niż 50 KB zwiększa rozmiar HTML i nie może być cachowane osobno. Inline pozostaw tylko krytyczne CSS dla widocznej części strony.
Jakość tekstu linków (WCAG 2.4.4)Ostrzeżenie
1 linków ma ogólny tekst ("click here", "more", "tu"...)
Dlaczego to ważne: WCAG 2.4.4: Cel linku musi być jasny z tekstu. Niejasne linki pogarszają UX, konwersję i SEO (relevancja anchor textu dla Google).
Jak naprawić: Zastąp 'Click here' / 'Read more' / 'Więcej' opisowym tekstem: 'Przeczytaj więcej o RODO', 'Zobacz cennik modułów'. Czytniki ekranu czytają linki poza kontekstem — samo 'więcej' nie ma sensu.
Konfiguracja viewportuZaliczone
width=device-width, initial-scale=1
Wynik wydajności mobilnejZaliczone
90/100 — doskonały
Treść mieści się w viewportZaliczone
Nie jest potrzebne przewijanie poziome
Techniki responsywnego designuZaliczone
Wykryto: Flexbox, CSS Grid, Media queries
Nawigacja mobilna (semantyczna)Zaliczone
Element <nav> jest obecny — poprawny punkt orientacyjny nawigacji
Responsywne obrazy (srcset)Zaliczone
48 obrazów używa srcset do responsywnego rozmiaru
Typy pól formularzaZaliczone
Zoptymalizowane: 1 email
Hierarchia nagłówków (WCAG 1.3.1)Zaliczone
Brak pominiętych poziomów
Kategoria 4 / 8 · luigisbox.sk · Zulien Score

Gotowość AI

80/100
Waga: 10% · 18 OK · 12 ostrzeżeń · 1 błędów · łącznie 35
Jakość tekstu alt obrazów dla AINiezaliczone
Tylko 24% wysokiej jakości tekstu alt — 1 brakuje, 207 słabych
Dlaczego to ważne: Słaby tekst alt oznacza, że Twoje obrazy produktów są niewidoczne dla wizualnego wyszukiwania AI (Google Lens, Bing Visual Search). Jest to również wymóg dostępności (WCAG 2.1 AA) — wiele regionów egzekwuje go prawnie.
Jak naprawić: Zaudytuj wszystkie obrazy: dodaj opisowy tekst alt (3-15 słów) do każdego <img>. Uwzględnij nazwy produktów, cechy, materiały, kolory. Jest to kluczowe dla wizualnego wyszukiwania AI i zgodności z dostępnością.
Zasady dostępu botów AIOstrzeżenie
Zablokowane mniejsze boty: Bytespider, PetalBot
Dlaczego to ważne: Nawet mniejsze boty AI wpływają na to, jak modele AI rozumieją Twoją markę. Większa ekspozycja w AI oznacza więcej cytowań i rekomendacji produktów.
Jak naprawić: Blokujesz niektóre crawlery AI (Bytespider, PetalBot). Nie jest to krytyczne, ale te boty dostarczają dane treningowe dla modeli AI, które mogą polecać Twoje produkty.
Schemat FAQ (bezpośrednie odpowiedzi dla AI)Ostrzeżenie
Dlaczego to ważne: ChatGPT, Perplexity i Google AI Overviews przejmują odpowiedzi z FAQ dosłownie. Schemat FAQ to jeden z najszybszych sposobów, aby AI cytowała Twoją treść.
Jak naprawić: Dodaj schemat FAQPage do każdej strony produktu i kategorii. Uwzględnij 3-5 pytań i odpowiedzi na stronę dotyczących: specyfikacji produktu, wysyłki, zwrotów, instrukcji użytkowania. Format: pytanie (pełne zdanie) + odpowiedź (75-150 słów).
Schemat BreadcrumbOstrzeżenie
Dlaczego to ważne: Asystenci AI używają breadcrumbów do zrozumienia kategoryzacji produktów i struktury witryny. Bez nich AI nie potrafi umiejscowić, gdzie produkty pasują w katalogu — np. 'Buty do biegania' pod 'Sport > Obuwie > Bieganie'.
Jak naprawić: Dodaj schemat BreadcrumbList odzwierciedlający hierarchię kategorii: Strona główna → Kategoria → Podkategoria → Produkt. Każdy element potrzebuje name i URL.
Format treści z odpowiedzią na początkuOstrzeżenie
Treść nie zaczyna się mocnym akapitem podsumowującym
Dlaczego to ważne: Asystenci AI wyodrębniają treść z pierwszych 100 słów, aby generować podsumowania. Większość systemów AI czyta od góry do dołu, więc strony z odpowiedzią na początku są cytowane częściej.
Jak naprawić: Umieść najważniejsze informacje w pierwszych 100 słowach strony. Zastosuj metodę BLUF (najważniejsze na początku): zacznij od tego, CZYM produkt jest i dlaczego ma znaczenie, a następnie rozwiń.
Treść strukturalna (listy i tabele)Ostrzeżenie
Znaleziono: 33 lists — rozważ dodanie: comparison tables
Dlaczego to ważne: Modele AI preferują wyodrębnianie danych z list i tabel HTML. Perplexity i ChatGPT przejmują punktory i dane tabelaryczne dokładniej niż tekst w akapitach.
Jak naprawić: Dodaj comparison tables do swojej treści. Użyj <ul>/<ol> do list funkcji, specyfikacji i korzyści. Użyj <table> do porównań produktów, poziomów cenowych i specyfikacji. AI wyodrębnia treść strukturalną znacznie szybciej niż akapity.
Sygnały świeżości treściOstrzeżenie
Znaleziono daty w schemacie, ale brak widocznej daty na stronie
Dlaczego to ważne: Modele AI uwzględniają aktualność w swoich algorytmach cytowania. Sygnały świeżości mówią AI, że Twoja treść jest aktualna i wiarygodna.
Jak naprawić: Dodaj oba: 1) dateModified i datePublished w schemacie Article/Product w JSON-LD, 2) widoczne 'Ostatnia aktualizacja: [data]' na stronie. Oba sygnały wzmacniają świeżość treści dla AI.
Optymalizacja długości sekcjiOstrzeżenie
Średnia sekcja: 33 słów — tylko 5% w optymalnym zakresie 80-200 słów
Dlaczego to ważne: Dla Google AI Overviews idealne jest 100-150 słów na sekcję — długie sekcje są pomijane, a bardzo krótkie nie mają treści merytorycznej.
Jak naprawić: Uporządkuj treść w sekcje po 120-180 słów między nagłówkami H2/H3. Każda sekcja powinna w pełni omawiać jeden temat. Podziel sekcje powyżej 300 słów, rozbuduj sekcje poniżej 80 słów.
Nagłówki w formacie pytanie-odpowiedźOstrzeżenie
Dlaczego to ważne: Format treści pytanie-odpowiedź odpowiada temu, jak ludzie zadają pytania asystentom AI. Bez nagłówków w formie pytań Twoja treść jest trudniejsza do dopasowania przez AI do zapytań użytkowników.
Jak naprawić: Dodaj nagłówki H2/H3 sformułowane jako pytania Twoich klientów: 'Ile kosztuje dostawa?', 'Jakie rozmiary są dostępne?', 'Jak zwrócić towar?' Po każdym podaj bezpośrednią, zwięzłą odpowiedź.
Tag canonical do deduplikacji w AIOstrzeżenie
Canonical wskazuje na inny URL: https://www.luigisbox.sk/
Dlaczego to ważne: Wyszukiwarki AI (ChatGPT, Perplexity, Bing Copilot) używają tagów canonical do deduplikacji treści. Błędny canonical oznacza, że AI może cytować niewłaściwą wersję strony lub całkowicie ją zignorować.
Jak naprawić: Sprawdź, czy ten canonical jest zamierzony. Modele AI grupują niemal identyczne URL-e i wybierają jedną reprezentatywną stronę. Jeśli canonical wskazuje na inny URL, AI zaindeksuje tylko ten docelowy URL, a nie tę stronę.
Czytelność treści dla AIOstrzeżenie
Grade 19 — zbyt złożone dla szerokiego cytowania przez AI (próg techniczny: 14)
Dlaczego to ważne: Treść o czytelności powyżej grade 12 jest trudniejsza do wyekstrahowania przez AI jako jasne, zwięzłe odpowiedzi. Strony z przejrzystymi nagłówkami i przystępnym językiem są cytowane częściej.
Jak naprawić: Uprość zdania (cel: średnio 15-20 słów), używaj powszechnych słów, dziel złożone idee na krótsze akapity. AI ekstrahuje treść dla szerokiej publiczności — jeśli jest zbyt akademicka, AI ją pomija.
Cytaty ekspertów i przypisyOstrzeżenie
Dlaczego to ważne: Treść bez przypisów lub cytatów ekspertów wydaje się AI niezweryfikowana. Asystenci AI preferują treści poparte wymienionymi źródłami, odniesieniami do danych i opiniami ekspertów.
Jak naprawić: Na każdą główną stronę dodaj 2-3 cytaty ekspertów lub przypisy do danych. Użyj <blockquote> do cytatów i linkuj do autorytatywnych źródeł (.gov, .edu, Wikipedia, raporty branżowe).
Gotowość agentowa WebMCPOstrzeżenie
Dlaczego to ważne: WebMCP to sposób, w jaki agenci AI będą wchodzić w interakcję z Twoim sklepem (wyszukiwanie produktów, dodawanie do koszyka, sprawdzanie dostępności). Google i Microsoft wspólnie rozwijają ten standard.
Jak naprawić: WebMCP (standard W3C Community Group, Chrome 146+) pozwala stronom deklarować ustrukturyzowane narzędzia dla agentów AI. Dodaj atrybuty toolname i tooldescription do elementów <form> lub dołącz manifest <script type='application/webmcp+json'>.
Dostęp agentów AI (na żywo)Zaliczone
ChatGPT-User i PerplexityBot dostają tę samą stronę co przeglądarka
Dostępność treści dla AIZaliczone
1801 słów w surowym HTML (2.0% udziału tekstu) — czytelne dla crawlerów AI bez uruchamiania JS
Podstawa danych strukturalnychZaliczone
3 bloków JSON-LD z 9 odrębnymi typami schematów: Place, BusinessEntity, WebSite, ImageObject, WebPage, Person
Schemat Organization + łączenie encjiZaliczone
Znaleziono Organization z 4 linkami sameAs — silna tożsamość encji
Schemat wyszukiwania w witrynie (SearchAction)Zaliczone
WebSite SearchAction skonfigurowane — AI może przeszukiwać Twój sklep
Głębia treści dla AIZaliczone
1801 słów — bogata treść do analizy i cytowania przez AI
Hierarchia nagłówków dla AIZaliczone
Prawidłowa struktura: 1 H1 → 9 H2 → 34 H3 — jasny zarys treści
Semantyczna struktura HTMLZaliczone
4/6 elementów semantycznych: <nav>, <main>, <header>, <footer>
Jasność encji i sygnały markiZaliczone
Tagi OG kompletne + 4 linków sameAs: Facebook, X/Twitter, LinkedIn, YouTube
Sygnały eksperckości autora (E-E-A-T)Zaliczone
Schemat Article z Person/author — silny sygnał eksperckości dla AI
Schemat recenzji i ocenZaliczone
Znaleziono dane AggregateRating/Review — dowód społeczny dla AI
Ekstraktowalne bloki odpowiedziZaliczone
47 akapitów, średnio 59 słów — optymalne dla ekstrakcji AI
Obecność statystyk i danychZaliczone
Znaleziono 10 punktów danych — silny magnes na cytowania
Gęstość linków wewnętrznychZaliczone
11 kontekstowych linków wewnętrznych na 1 000 słów — silny sygnał dla knowledge graph
Gotowość do Knowledge GraphZaliczone
3/4 sygnałów encji — silna obecność w Knowledge Graph
Stosunek treści do tekstu szablonowegoZaliczone
62% tekstu w <main>/<article> — czysty sygnał treści
Schemat AggregateRatingZaliczone
Obecny schemat zagregowanej oceny recenzji
Recenzje klientów — zbiorczoZaliczone
1 source: AggregateRating schema — ★ 4.8 · 435 reviews
Dlaczego to ważne: Recenzje z wielu źródeł z opublikowaną liczbą kumulują zaufanie: asystenci AI (ChatGPT/Perplexity) i Google SGE priorytetowo cytują sklepy z weryfikowalnym schematem AggregateRating; kupujący z SK/CZ przed zakupem porównują Heurekę z Trustpilotem.
llms.txt (opis witryny dla AI)Info
Prawidłowy llms.txt z 4000 znakami — poprawny format z H1, links, summary
Dlaczego to ważne: No answer engine consumes llms.txt for AI-search citation today (2026) — adoption is ~8.7% and Google declined to support it. It's optional future-proofing, mainly read by coding/IDE agents. Prioritize AI-crawler access, server-rendered content, statistics and cited sources instead. See /ai-readiness-methodology.md.
llms-full.txt (kompletna treść dla AI)Info
Not present — not required for AI visibility
Dlaczego to ważne: llms-full.txt dostarcza modelom AI całą treść witryny w jednym pliku możliwym do przetworzenia. To różnica między tym, czy AI ma tylko krótki przegląd, czy głęboką wiedzę o Twoich produktach i usługach.
Treść Speakable (głosowa AI)Info
Not present — optional; SpeakableSpecification has limited assistant adoption
ai.txt (uprawnienia dla AI)Info
Not present — optional; AI-bot permissions are enforced via robots.txt, not ai.txt
Dlaczego to ważne: ai.txt to wschodzący standard szczegółowych uprawnień dla AI, wykraczający poza robots.txt. Daje Ci kontrolę nad tym, jak AI używa Twojej treści.
Kategoria 5 / 8 · luigisbox.sk · Zulien Score

Prawo i RODO

81/100
Waga: 10% · 7 OK · 5 ostrzeżeń · 0 błędów · łącznie 14
Polityka cookiesOstrzeżenie
Dlaczego to ważne: Dyrektywa ePrivacy wymaga przejrzystego ujawnienia cookies. Ogólnikowe stwierdzenia typu „używamy cookies dla funkcjonalności" nie spełniają wymogu szczegółowości.
Jak naprawić: Stwórz osobną stronę z polityką cookies, wymieniającą każde cookie według: nazwy, dostawcy, celu, kategorii (niezbędne/analityczne/marketingowe) i czasu wygaśnięcia. Większość CMP generuje ją automatycznie.
Strona RegulaminOstrzeżenie
Dlaczego to ważne: Unijna dyrektywa o prawach konsumentów wymaga jasnych warunków przed zakupem. Brak Regulaminu oznacza, że klienci mogą twierdzić, że nie zostali poinformowani, co daje im wydłużone prawo do odstąpienia.
Jak naprawić: Stwórz Regulamin obejmujący: proces składania zamówienia, płatność, dostawę, zwroty, gwarancję i rozwiązywanie sporów. Podlinkuj go w stopce i w koszyku.
Międzynarodowe transfery danychOstrzeżenie
2 trackerów z USA bez zgody: Google Analytics/GTM, Microsoft Clarity
Dlaczego to ważne: Ramy EU-US Data Privacy Framework obejmują niektóre transfery, ale ładowanie trackerów z USA bez zgody pozostaje naruszeniem. Austriacki i francuski organ ochrony danych uznały Google Analytics za niezgodny bez odpowiednich zabezpieczeń.
Jak naprawić: Trackery z USA przekazują dane osobowe poza UE. Zgodnie z RODO wymaga to: 1) zgody użytkownika przez CMP, 2) standardowych klauzul umownych (SCC) z każdym dostawcą, 3) oceny skutków transferu danych.
Prawo do usunięcia danych (bycia zapomnianym)Ostrzeżenie
Dlaczego to ważne: Art. 17 RODO daje użytkownikom „prawo do bycia zapomnianym". Regulatorzy UE oczekują jasnego, dostępnego procesu, a utrudnianie żądań usunięcia jest udokumentowanym ustaleniem pokontrolnym.
Jak naprawić: Zapewnij użytkownikom jasny sposób żądania usunięcia danych — dedykowaną stronę, formularz lub wyraźne instrukcje w polityce prywatności. Dodaj opcję „Usuń moje konto" w ustawieniach użytkownika.
Zgoda na newsletterOstrzeżenie
Znaleziono zapis do newslettera bez widocznego pola wyboru zgody
Dlaczego to ważne: RODO wymaga „dobrowolnej, konkretnej i świadomej" zgody na e-maile marketingowe. Formularz newslettera bez wyraźnego opt-in narusza art. 7, a wstępnie zaznaczone pola nie są ważną zgodą.
Jak naprawić: Dodaj do formularza newslettera niezaznaczone pole zgody: „Wyrażam zgodę na otrzymywanie e-maili marketingowych i zapoznałem/am się z polityką prywatności [link]." Wstępnie zaznaczone pola nie stanowią ważnej zgody według RODO.
Google Consent Mode v2Zaliczone
Wykryto sygnały consent mode (ad_storage, analytics_storage)
Strona polityki prywatnościZaliczone
https://www.luigisbox.sk/zasady-ochrany-osobnych-udajov/
Kontakt prawny / strona ImpressumZaliczone
https://www.luigisbox.sk/o-nas/
Szyfrowanie danych (brak treści mieszanych)Zaliczone
Wszystkie zasoby ładowane przez HTTPS
Udostępnianie danych stronom trzecimZaliczone
2 domen stron trzecich
Kontakt do inspektora ochrony danych (DPO)Zaliczone
Znaleziono kontakt do DPO / ochrony danych
Mechanizm wycofania zgodyZaliczone
Znaleziono mechanizm wycofania zgody / opt-out
Baner zgody na cookies (CMP)Info
W serwerowym HTML brak CMP, ale GTM jest obecny — baner zgody może być wstrzykiwany w czasie działania (nie da się zweryfikować po stronie serwera)
Dlaczego to ważne: Regulatorzy UE egzekwują zgodę na cookies (CNIL nałożył na Google karę 150 mln €). Jeśli CMP jest wstrzykiwane przez GTM, ten skan nie może tego potwierdzić — zweryfikuj ręcznie.
Jak naprawić: Potwierdź, że platforma zarządzania zgodą faktycznie się ładuje i blokuje niepotrzebne cookies do momentu udzielenia zgody. A Google Tag Manager container is present, and CMPs/consent are very often loaded through GTM at runtime — which our server-side HTML scan can't see. Verify in the browser (Cookiebot/OneTrust/Usercentrics + Consent Mode fire on load) or expose the loader in the initial HTML.
Skrypty śledzące a zgodaInfo
Wykryto 2 trackerów (Google Analytics/GTM, Microsoft Clarity); w serwerowym HTML brak widocznego CMP, ale GTM jest obecny
Dlaczego to ważne: Ładowanie śledzenia przed zgodą to bezpośrednie naruszenie RODO/ePrivacy, ale warunkowanie zgodą zarządzane przez GTM nie jest widoczne po stronie serwera — zweryfikuj w przeglądarce.
Jak naprawić: Potwierdź, że te trackery są warunkowane zgodą (GTM consent mode / blokowanie skryptów przez CMP), zanim się uruchomią. A Google Tag Manager container is present, and CMPs/consent are very often loaded through GTM at runtime — which our server-side HTML scan can't see. Verify in the browser (Cookiebot/OneTrust/Usercentrics + Consent Mode fire on load) or expose the loader in the initial HTML.
Kategoria 6 / 8 · luigisbox.sk · Zulien Score

Podatności

57/100
Waga: 10% · 5 OK · 6 ostrzeżeń · 5 błędów · łącznie 16
Ochrona formularzy CSRFNiezaliczone
2 formularz(y) bez tokenów CSRF
Dlaczego to ważne: CSRF znajduje się w OWASP Top 10. Bez tokenów atakujący mogą tworzyć strony, które automatycznie wysyłają formularze na Twojej witrynie w ramach sesji przeglądarki ofiary.
Jak naprawić: Dodaj walidację tokenu CSRF do każdego formularza. Większość frameworków CMS ma wbudowaną ochronę CSRF — upewnij się, że jest włączona na wszystkich formularzach, w tym wyszukiwania i zapisu do newslettera.
Podejrzane wzorce skryptów inlineNiezaliczone
Wykryto: new Function() with decoding
Dlaczego to ważne: Te wzorce (dekodowanie Base64, eval z kodowaniem, dynamiczne wstrzykiwanie skryptów) to cechy charakterystyczne skimmerów płatności Magecart. Skimmery są na stronach e-commerce zwykle maskowane jako Google Tag Manager.
Jak naprawić: Sprawdź wszystkie skrypty inline pod kątem zaciemnionego kodu. Atakujący Magecart wstrzykują skimmery płatności zamaskowane jako analityka lub skrypty GTM. Porównaj bieżący HTML ze znaną, dobrą wersją. Rozważ użycie CSP ze ścisłymi nonce.
Rekord SPF (bezpieczeństwo e-maili)Niezaliczone
Dlaczego to ważne: Bez SPF każdy może wysyłać e-maile, które wyglądają, jakby pochodziły z Twojej domeny. Od 2024 roku Google i Yahoo odrzucają e-maile z domen bez SPF. Twoje e-maile transakcyjne mogą trafiać do spamu.
Jak naprawić: Dodaj rekord SPF TXT do swojego DNS: v=spf1 include:_spf.google.com ~all (dostosuj do swojego dostawcy poczty). Informuje serwery odbierające, które adresy IP mogą wysyłać e-maile w imieniu Twojej domeny.
Polityka DMARC (uwierzytelnianie e-maili)Niezaliczone
Dlaczego to ważne: Bez DMARC atakujący mogą wysyłać idealnie sfałszowane e-maile w imieniu Twojej marki. Od maja 2025 Google, Yahoo i Microsoft wymagają DMARC dla masowych nadawców. Brak DMARC = problemy z dostarczalnością e-maili.
Jak naprawić: Dodaj rekord DMARC TXT pod _dmarc.twojadomena.com: v=DMARC1; p=quarantine; rua=mailto:dmarc@twojadomena.com — zacznij od quarantine, a następnie przejdź na reject.
Bezpieczeństwo strony płatnościNiezaliczone
Strona płatności nie ma: No HSTS, No CSP, No X-Content-Type-Options, No clickjacking protection
Dlaczego to ważne: Strony płatności bez odpowiednich nagłówków bezpieczeństwa naruszają PCI DSS i znacznie ułatwiają kradzież danych kart. Operatorzy płatności mogą nakładać miesięczne kary za brak zgodności.
Jak naprawić: KRYTYCZNE: Twojej stronie płatności brakuje nagłówków bezpieczeństwa: No HSTS, No CSP, No X-Content-Type-Options, No clickjacking protection. Wymaganie PCI DSS 6.5 nakazuje ochronę przed powszechnymi podatnościami na stronach przetwarzających dane kart.
Listowanie katalogówOstrzeżenie
Nie udało się zweryfikować — /wp-includes/, /wp-content/uploads/ nie odpowiedziały
Dlaczego to ważne: Te ścieżki istnieją w każdej instalacji WordPressa. Brak odpowiedzi w naszym limicie czasu nie dowodzi, że listowanie jest wyłączone, więc nie raportujemy tego jako zaliczone.
Jak naprawić: Otwórz podane ścieżki w przeglądarce: strona 'Index of /…' oznacza włączone listowanie — wyłącz je przez 'Options -Indexes' (Apache) lub 'autoindex off;' (Nginx). 403 lub 404 jest w porządku.
Konfiguracja CORSOstrzeżenie
Access-Control-Allow-Origin: * (zezwala na dowolną domenę)
Dlaczego to ważne: Wieloznaczna polityka CORS pozwala dowolnej witrynie wysyłać żądania do Twojego API/stron. W połączeniu z Access-Control-Allow-Credentials umożliwia to kradzież danych między źródłami.
Jak naprawić: Zastąp wieloznaczny nagłówek CORS konkretnymi dozwolonymi źródłami. Unikaj Access-Control-Allow-Origin: * na stronach z uwierzytelnianiem lub danymi wrażliwymi.
Ekspozycja inline JavaScriptOstrzeżenie
57 KB inline JavaScript
Dlaczego to ważne: Duże ilości inline JavaScript uniemożliwiają prawidłową implementację CSP i zwiększają ryzyko XSS. Skrypty zewnętrzne można chronić za pomocą hashy SRI.
Jak naprawić: Przenieś skrypty inline do plików zewnętrznych. Inline JavaScript rozszerza powierzchnię ataku dla XSS i utrudnia implementację CSP (wymaga unsafe-inline).
Podpisywanie DKIM (uwierzytelnianie e-maili)Ostrzeżenie
Dlaczego to ważne: DKIM kryptograficznie podpisuje wychodzące e-maile, aby udowodnić, że pochodzą z Twojej domeny. Bez DKIM dostawcy poczty obniżają wynik zaufania — e-maile transakcyjne trafiają do spamu. Gmail i Yahoo wymagają DKIM od 2024 roku dla masowych nadawców.
Jak naprawić: Skonfiguruj podpisywanie DKIM za pośrednictwem swojego dostawcy poczty (Google Workspace, Microsoft 365, Mailchimp, SendGrid). Opublikuj publiczny klucz DKIM jako rekord TXT pod <selector>._domainkey.twojadomena.com.
Izolacja między źródłami (Cross-Origin)Ostrzeżenie
Dlaczego to ważne: Bez nagłówków izolacji między źródłami Twoja witryna jest podatna na ataki Spectre, które mogą wyciekać wrażliwe dane między kartami przeglądarki. Te nagłówki są wymagane dla SharedArrayBuffer i timerów o wysokiej rozdzielczości.
Jak naprawić: Dodaj nagłówki Cross-Origin-Opener-Policy: same-origin i Cross-Origin-Resource-Policy: same-origin. Chronią przed atakami typu side-channel jak Spectre.
Zasoby mieszanej treściOstrzeżenie
1 zasobów HTTP na stronie HTTPS
Dlaczego to ważne: Mieszana treść umożliwia ataki man-in-the-middle na konkretne zasoby. Przeglądarki coraz częściej blokują mieszaną treść, psując obrazy i skrypty na Twojej witrynie.
Jak naprawić: Zastąp adresy URL HTTP adresami HTTPS: http://app.luigisbox.com
Ujawnienie wersji CMSZaliczone
Brak tagu generator — tożsamość CMS ukryta
Ujawnione pliki wrażliweZaliczone
.env, .git, composer.json — wszystkie prawidłowo zablokowane
Ujawniony skrypt instalacyjnyZaliczone
Żadne ścieżki /install/ ani /setup/ nie są dostępne
Panel administracyjny pod domyślnym URLZaliczone
Nie znaleziono pod typowymi ścieżkami (/admin, /wp-admin, /administrator, /backoffice)
Tryb debugowania / ujawnianie błędówZaliczone
W wyjściu strony nie znaleziono wskaźników debugowania
Kategoria 7 / 8 · luigisbox.sk · Zulien Score

Dostępność / EAA

66/100
Waga: 10% · 5 OK · 2 ostrzeżeń · 1 błędów · łącznie 9
Etykiety pólNiezaliczone
7 z 7 pól nie ma powiązanej etykiety
Dlaczego to ważne: Pola bez etykiet zmuszają użytkownika czytnika do zgadywania — wyszukiwarka, newsletter i kasa stają się bezużyteczne. EN 301 549 § 9.1.3.1 / 9.4.1.2 (WCAG 1.3.1 / 4.1.2).
Jak naprawić: Powiąż każde pole z <label for> (lub aria-label / aria-labelledby). Placeholder to nie etykieta.
SK § 4 zák. 351/2022 · CZ § 4 zák. 424/2023
Teksty alt obrazówOstrzeżenie
1 z 425 obrazów bez tekstu alt
Dlaczego to ważne: Każdy obraz bez alt to treść niedostępna dla użytkownika czytnika ekranu (WCAG 1.1.1 / EN 301 549 § 9.1.1.1).
Jak naprawić: Uzupełnij alt dla pozostałych obrazów (alt="" dla dekoracyjnych).
Link pomijającyOstrzeżenie
Nie wykryto linku pomijającego do treści
Dlaczego to ważne: Użytkownicy klawiatury i czytników inaczej przechodzą Tabem przez całe menu na każdej stronie. EN 301 549 § 9.2.4.1 (WCAG 2.4.1).
Jak naprawić: Dodaj wizualnie ukryty link „Przejdź do treści" jako pierwszy element fokusowalny, kierujący do <main id="main">.
Język stronyZaliczone
<html lang="sk-SK"> jest ustawiony
Struktura nagłówkówZaliczone
Jeden <h1> ze spójną strukturą nagłówków
Tekst linkówZaliczone
Linki mają opisowy tekst
Obszary orientacyjneZaliczone
Obecne obszary semantyczne (<main>, <nav>/<header>)
Powiększanie i skalaZaliczone
Powiększanie nie jest wyłączone
Podstawa prawna EAAInfo
Podlegasz Europejskiemu Aktowi o Dostępności (obowiązuje od 28.06.2025): SK 351/2022, CZ 424/2023 Sb., dyr. (UE) 2019/882 — ocena wg EN 301 549. Inger wykonuje audyty i naprawę EAA.
Kategoria 8 / 8 · luigisbox.sk · Zulien Score

Następne kroki

  1. Start with the failures — every red item carries a How to fix note. Prioritise Security and Legal & Compliance, which carry statutory consequences.
  2. Re-run the audit after fixing — run a fresh scan at score.zulien.sk and compare the score.
  3. Get help with the harder ones — for a deep audit or an expert assessment, see inger.sk.
  4. Track NIS2 and GDPR compliance — if your shop falls under NIS2 (turnover over €10M or more than 50 staff), you need a formal compliance framework.

Raport online

The full interactive version, with clickable links and the option to re-scan, is here:

https://score.zulien.sk/r/luigisbox.sk

Disclaimer: This report is generated automatically by Zulien Score. Its findings come from publicly available data and technical analysis. For a legally binding assessment (of GDPR compliance, for instance) we recommend consulting a DPO or a lawyer specialising in data protection. Zulien Score is not a licensed legal or audit firm.
Zulien Score · score.zulien.sk · by Zulien · Hosted at inger.sk