Укажите адрес сайта, и через минуту у вас будет отчёт: что на сайте держится на иностранных сервисах, какие требования закона нарушены и какой штраф за это грозит, можно ли подделать письмо от имени компании и что исправить в первую очередь. Каждый вывод подкреплён доказательством: DNS-записью, заголовком ответа, цитатой из политики, адресом скрипта.

Проверка пассивная: Suveren смотрит только то, что видит любой посетитель, — публичные DNS-записи, открытые реестры и страницы сайта. Никакого сканирования портов и подбора паролей.

_{На картинках — выдуманные сайты в зарезервированной зоне .test: это данные настоящих проверок, в которых имена, адреса и IP заменены, чтобы не показывать чужие компании.}

Что проверяет

Всего около 60 проверок, у каждой постоянный ID — их список в docs/checks.md. Находки из разных разделов собираются в сценарии атак: например, «почту можно подделать» + «на сайте есть оплата» = фишинг от имени компании.

Кому пригодится: владельцам бизнеса и ИТ-директорам, веб-студиям для аудита сайтов клиентов, юристам и ответственным за персональные данные, отделам закупок для проверки контрагентов.

Как запустить

Windows: двойной клик

Скачайте Suveren.exe со страницы Releases и запустите. Python не нужен. Windows может предупредить о неизвестном издателе: нажмите «Подробнее» → «Выполнить в любом случае». Exe собирается из этого кода на GitHub Actions.

Откроется меню — командную строку знать не нужно:

Из исходного кода то же меню открывает Suveren.bat: скачайте репозиторий (Code → Download ZIP), распакуйте и запустите батник. При первом запуске он сам установит всё нужное (нужен Python 3.11+).

Любая система

pip install "suveren[browser]"
suveren scan example.ru

Docker

docker build -t suveren https://github.com/marsilid/suveren.git
docker run --rm -v "$PWD:/work" suveren scan example.ru

Отчёт

Отчёт сохраняется в папку reports/ и сам открывается в браузере. Сверху — оценки, сумма возможных штрафов и что сделать в первую очередь; под каждой проблемой — доказательство, статья закона и как исправить.

Раздел 152-ФЗ: каждая проверка со ссылкой на статью закона и возможным штрафом.

Команды

Главные параметры scan:

Полный список — suveren scan --help, подробности по каждой проверке — в руководстве.

Проверка компании

suveren company 7707083893      # по ИНН
suveren company 1027700132195   # по ОГРН
suveren company example.ru      # ИНН будет найден на сайте

Данные из ЕГРЮЛ (статус, дата регистрации, руководитель), проверка компании и руководителя по санкционным спискам США, ЕС и Великобритании, реестр операторов ПДн и сверка с сайтом. Совпадения по ИНН и ОГРН точные, по названию и ФИО — возможные, их нужно проверить вручную.

Много сайтов сразу

Для веб-студий: файл со списком сайтов, по одному в строке.

suveren batch sites.txt --browser

В reports/batch-… появятся сводная таблица index.html, summary.csv для Excel и отчёт по каждому сайту.

Для CI

suveren scan example.ru --no-open --sarif suveren.sarif --fail-on fail

SARIF читают GitHub и GitLab code scanning и DefectDojo. Коды выхода, формат JSON и плагины со своими проверками описаны в руководстве и docs/plugins.md.

Источники данных

Все источники открытые и бесплатные, ключи API не нужны: DNS, Team Cymru (сети IP-адресов), RDAP и WHOIS, ЕГРЮЛ (ФНС), реестр операторов ПДн и реестр блокировок Роскомнадзора, журналы сертификатов (crt.sh, Cert Spotter), санкционные списки OFAC, ЕС и Великобритании. suveren doctor проверяет, что все они отвечают; на GitHub эта проверка идёт каждый день.

Ограничения

• Отчёт помогает расставить приоритеты и не является юридическим заключением. У каждой проверки 152-ФЗ указана статья закона со ссылкой на текст, чтобы вывод можно было перепроверить.
• Проверяются главная и до 6 внутренних страниц (--pages). Сервисы, которые есть только на остальных страницах, в отчёт могут не попасть.
• Если сайт закрыт от роботов даже в браузере, проверки по коду страницы получают статус «не проверено», а не ложное «в порядке».
• Если сайт за CDN, настоящий хостинг скрыт — Suveren об этом предупреждает.

Участие

Чтобы добавить сервис в базу, программировать не нужно: это файл данных services.json — как его заполнить, написано в руководстве. Можно и просто открыть issue «Добавить сервис». О найденных уязвимостях — по правилам из SECURITY.md.

pip install -e ".[dev,browser]"
pytest
ruff check . && ruff format --check .

Тесты не ходят в сеть: ответы реестров и фрагменты списков лежат в tests/fixtures.

Лицензия

Copyright © 2026 marsilid. Начиная с версии 1.1 — GNU AGPL-3.0 или более поздняя: код открыт, и любая изменённая версия, в том числе работающая как сервис, тоже должна быть открыта. Для закрытых продуктов и SaaS есть коммерческая лицензия — подробности в COPYRIGHT. Версии до 1.0.x были опубликованы под MIT и остаются под ней.

Связанный проект: ReconLens — пассивная OSINT-разведка домена с оценкой безопасности.