Dodaj swój Trust Badge
w dwie minuty.

Podejrzyj i zainstaluj odznakę

Wypróbuj poniższe style, aby zobaczyć dokładnie to, co zobaczą odwiedzający. Gdy będziesz gotowy, Twój spersonalizowany kod czeka w panelu — bez umiejętności programowania.

<div class="pcrisk-badge"
     data-style="shield"
     data-size="medium"
     data-theme="light"
     style="min-width:214px;min-height:141px;font-size:0;line-height:0"></div>
<script src="https://scanner.pcrisk.com/badge/trust-badge.js" defer></script>

Instrukcje dla platform

Dwa sposoby dodania odznaki: zainstaluj naszą wtyczkę lub wklej fragment kodu z panelu. Wybierz platformę poniżej — w obu przypadkach zajmie to kilka minut.

Dostosuj odznakę

Twoje wybory są zapisane jako data-* atrybuty w miejscu osadzenia fragmentu kodu <div> - projektant panelu ustawia je wszystkie podczas generowania kodu. Aby później zmienić styl, wybierz tam nowy wygląd i wklej zaktualizowany fragment zamiast starego. Oto, co kontroluje każdy atrybut.

Odznaka się nie wyświetla?

Wykonaj te kroki po kolei - pierwsze dwa rozwiązują większość przypadków.

script-src  https://scanner.pcrisk.com
connect-src https://scanner.pcrisk.com
style-src   'unsafe-inline'

Jak odwiedzający to weryfikują

Odznaka, którą każdy może podrobić, nie budzi zaufania. Nasza jest niezależnie weryfikowalna — to właśnie sprawia, że warto ją wyświetlać.

Co się dzieje po wykryciu zagrożenia

Nigdy nie wyświetlisz pieczęci „zweryfikowano” na zainfekowanej stronie.

Alerty Slack i webhook

Otrzymuj te same alerty, które wysyłamy e-mailem — wykryto zagrożenie, wszystko czyste, nie udało się ukończyć skanu — wysyłane do Slack lub na Twój endpoint w tych samych momentach. Oba ustawisz w panelu w sekcji Ustawienia → Integracje alertów.

Slack

W Slack utwórz Incoming Webhook dla wybranego kanału (Slack: Apps → Incoming Webhooks → Add to a channel), wklej hooks.slack.com URL do panelu i kliknij Wyślij test Slack. To cała konfiguracja — bez kodu.

Webhooki

My wysyłamy POST JSON na Twój endpoint HTTPS. Cztery typy zdarzeń:

• alert.otwarty - skan oznaczył witrynę (wynik poniżej 70); odznaka jest wstrzymana.
• alert.rozwiązany - późniejszy skan był czysty; odznaka została przywrócona.
• scan.niepowodzenie - codzienny skan nie mógł zostać ukończony (witryna niedostępna); wysyłane raz na awarię.
• test - przycisk Wyślij test webhooka na pulpicie.

{
  "event": "alert.opened",
  "domain": "example.com",
  "trust_score": 55,
  "threat_type": "suspicious",
  "severity": "medium",
  "occurred_at": "2026-07-07T08:28:36.874Z"
}

Każde żądanie zawiera trzy nagłówki: Content-Type: application/json, X-PCrisk-Event (typ zdarzenia), lubaz X-PCrisk-Signature - sha256= po którym następuje szesnastkowy HMAC SHA-256 surowej treści żądania, z kluczem będącym sekretem podpisu widocznym na pulpicie. Zweryfikuj go przed zaufaniem dostawie.

Semantyka dostarczania: czekamy do 5 sekund na odpowiedź i uznajemy każde 2xx za przyjęte; nieudane dostarczenie jest ponawiane raz, ~15 sekund później, a potem porzucane. Traktuj webhooki jako powiadomienia, nie jako rejestr — stanem źródłowym jest Twój pulpit.

const crypto = require('crypto');
const express = require('express');
const app = express();

// express.raw keeps the body as the exact bytes we signed
app.post('/hooks/pcrisk', express.raw({ type: 'application/json' }), (req, res) => {
  const expected = 'sha256=' + crypto
    .createHmac('sha256', process.env.PCRISK_WEBHOOK_SECRET)
    .update(req.body) // Buffer
    .digest('hex');
  const given = req.get('X-PCrisk-Signature') || '';
  const ok = given.length === expected.length &&
    crypto.timingSafeEqual(Buffer.from(given), Buffer.from(expected));
  if (!ok) return res.status(401).end();

  const event = JSON.parse(req.body);
  console.log(event.event, event.domain, event.trust_score);
  res.status(200).end(); // any 2xx marks the delivery as accepted
});

app.listen(3000);

<?php
$secret   = getenv('PCRISK_WEBHOOK_SECRET');
$raw      = file_get_contents('php://input'); // raw body, before any parsing
$given    = $_SERVER['HTTP_X_PCRISK_SIGNATURE'] ?? '';
$expected = 'sha256=' . hash_hmac('sha256', $raw, $secret);

if (!hash_equals($expected, $given)) {
    http_response_code(401);
    exit;
}

$event = json_decode($raw, true);
// $event['event'], $event['domain'], $event['trust_score'], ...
http_response_code(200); // any 2xx marks the delivery as accepted

import hashlib, hmac, os
from flask import Flask, request, abort

app = Flask(__name__)
SECRET = os.environ["PCRISK_WEBHOOK_SECRET"].encode()

@app.post("/hooks/pcrisk")
def pcrisk_hook():
    raw = request.get_data()  # raw body, before parsing
    expected = "sha256=" + hmac.new(SECRET, raw, hashlib.sha256).hexdigest()
    given = request.headers.get("X-PCrisk-Signature", "")
    if not hmac.compare_digest(expected, given):
        abort(401)

    event = request.get_json()
    # event["event"], event["domain"], event["trust_score"], ...
    return "", 200  # any 2xx marks the delivery as accepted

# run with: flask --app hook run --port 3000

Zmieniasz endpoint? Zapisz nowy URL na pulpicie i wyślij test — sekret podpisu pozostaje taki sam dla Twojego konta. Alerty są per incydent (jeden alert.otwarty na epizod poniżej 70, nie jeden na skan), więc kanał nie zostanie zalany przez witrynę, która pozostaje oznaczona.

REST API

Pobieraj swoje domeny, wyniki, historię skanów i alerty do własnych pulpitów, raportów i monitoringu. Dostęp do odczytu w Pro; plan Business dodaje zarządzanie domenami. API udostępnia tylko własne monitorowane domeny.

Uwierzytelnianie

Utwórz klucz w panelu w sekcji Ustawienia → Klucze API (jest wyświetlany tylko raz — przechowujemy wyłącznie hash) i wysyłaj go jako token Bearer. Klucze dziedziczą uprawnienia z Twojego obecnego planu, a ich unieważnienie w panelu wyłącza je natychmiast.

curl https://scanner.pcrisk.com/api/v1/domains   -H "Authorization: Bearer pcrisk_live_YOUR_KEY"

{
  "success": true,
  "data": [
    {
      "domain": "example.com",
      "status": "verified",
      "trust_score": 92,
      "threat_type": "clean",
      "last_scanned": "2026-07-07T06:12:04.000Z",
      "open_alerts": 0,
      "badge_visible": true,
      "badge_live": true
    }
  ]
}

Endpointy

GET /api/v1 - wykrywanie: Twój plan i poziom.
GET /api/v1/domains - wszystkie Twoje domeny z bieżącym wynikiem, typem zagrożenia i stanem odznaki.
GET /api/v1/domains/{domain} - jedna domena.
GET /api/v1/domains/{domain}/history - historia wyniku skanów (głębokość historii zależy od planu).
GET /api/v1/alerts - najnowsze alerty o zagrożeniach ze wszystkich domen, otwarte i rozwiązane.
POST /api/v1/domains (Business) - dodaj domenę; monitoring zaczyna się natychmiast. Treść: {"domain": "example.com"}.
DELETE /api/v1/domains/{domain} (Business) - usuń domenę; skanowanie się zatrzyma, odznaka przestanie się wyświetlać.

Wypróbuj

Wklej klucz API z panelu (Ustawienia → Klucze API) i wywołaj tutaj dowolny endpoint odczytu. Klucz trafia tylko do tego jednego żądania, do tej witryny — nic nie jest zapisywane, a żądanie liczy się do limitu jak każde inne.

Konwencje: każda odpowiedź to JSON z success oraz data lub kod.błędu + komunikat.błędu (401 zły klucz, 403 plan/poziom, 404 nie Twój, 429 ograniczono liczbę żądań). Limit wynosi 60 żądań/minutę na klucz - sprawdź X-RateLimit-Remaining i Retry-After nagłówki.