Перевірка security-заголовків сайту
Security-заголовки захищають відвідувачів від клікджекінгу, перехоплення трафіку та інших атак. Введіть адресу сайту і отримайте оцінку від A+ до F з поясненням, чого бракує.
Які заголовки безпеки перевіряються
Перевірка запитує сторінку й читає шість заголовків HTTP-відповіді, якими браузери захищають відвідувачів: Strict-Transport-Security (примусовий HTTPS), Content-Security-Policy (обмежує, звідки можна завантажувати скрипти та інші ресурси), X-Frame-Options або директива CSP frame-ancestors (не дає вбудувати сайт у фрейм для клікджекінгу), X-Content-Type-Options (не дає браузеру вгадувати тип файлу), Referrer-Policy (керує тим, яка адреса передається іншим сайтам) і Permissions-Policy (обмежує доступ до камери, мікрофона, геолокації та подібних функцій).
Оцінка рахує, скільки з них присутні: усі шість дають A+, пʼять - A, чотири - B і так далі до F. У результаті також видно повний текст CSP з директивами й деталі HSTS: max-age, includeSubDomains і чи відповідає сайт вимогам списку preload.
Як читати оцінку
- A+ або A: основу налаштовано. Далі варто переглянути саму CSP, бо політика, що дозволяє все, теж рахується як присутня.
- B або C: бракує від одного до трьох заголовків; кожна підказка під результатом пояснює, що робить відсутній заголовок.
- D-F: сервер майже не надсилає захисних заголовків. В Apache більшість із них додаються кількома рядками в .htaccess.
- Придатний для HSTS preload: є max-age щонайменше на рік, includeSubDomains і прапорець preload.
Повʼязані помилки та інструкції
- Як додати заголовки безпеки в .htaccess
- Що таке Content-Security-Policy
- Що таке HSTS
- Refused to display у фреймі: X-Frame-Options
- Заявку в HSTS preload відхилено
Часті запитання
- Чи можуть заголовки зламати сайт?
- HSTS і CSP можуть. HSTS змушує браузери користуватися лише HTTPS на весь строк max-age, тож спершу переконайтеся, що кожен піддомен працює по HTTPS. Сувора CSP блокує скрипти, яких немає в її списку, тож почніть із Content-Security-Policy-Report-Only і посилюйте поступово.
- Чи перевіряє оцінка, що моя CSP хороша?
- Ні, оцінка рахує наявні заголовки. Повний текст CSP показано, щоб ви могли його переглянути, але чи достатньо сувора політика, вирішувати вам.
- Чому на іншій сторінці інша оцінка?
- Заголовки можуть відрізнятися залежно від шляху чи типу файлу, особливо коли їх ставить застосунок, а не веб-сервер. Перевірка тестує саме ту адресу, яку ви ввели.