Sprawdzanie nagłówków bezpieczeństwa
Oceń nagłówki bezpieczeństwa HTTP dowolnej strony w skali od A+ do F – z opisem działania każdego nagłówka i tego, co zmienić.
Co sprawdza to narzędzie
DNSPeek ładuje Twoją domenę przez https:// (lub http://, gdy nic nie odpowiada przez HTTPS), podąża za przekierowaniami jak przeglądarka i odczytuje nagłówki odpowiedzi strony docelowej. Za CDN, np. Cloudflare, są to nagłówki wysyłane przez jego serwer brzegowy. Sprawdza Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy i Permissions-Policy, a także odnotowuje nagłówki Server lub X-Powered-By ujawniające wersje oprogramowania.
Przed czym chronią nagłówki
HSTS trzyma przeglądarki przy HTTPS, więc nikt nie może obniżyć poziomu połączenia. CSP ogranicza źródła skryptów i jest główną ochroną przed cross-site scripting. X-Frame-Options nie pozwala innym stronom osadzać Twojej w ramce w celu clickjackingu. nosniff nie pozwala przeglądarkom uruchamiać pliku jako innego typu niż zadeklarowany. Referrer-Policy ogranicza, jakie adresy URL wyciekają do innych stron, a Permissions-Policy wyłącza funkcje przeglądarki, których nie używasz.
Po migracji
Nagłówki ustawia serwer WWW lub CMS, więc często zmieniają się przy przeprowadzce strony. Porównaj ocenę przed przełączeniem i po nim. Co zmieniają podglądy i dlaczego, opisuje strona ograniczeń.
Najczęściej zadawane pytania
Jak obliczana jest ocena?
Punkty daje sześć nagłówków: Strict-Transport-Security 25, Content-Security-Policy 25, X-Frame-Options (lub frame-ancestors w CSP) 15, X-Content-Type-Options 15, Referrer-Policy 10 i Permissions-Policy 10. Słaba wartość daje połowę punktów. 95 lub więcej to A+, gdy nie są ujawniane wersje oprogramowania, 85 to A, 70 to B, 55 to C, 40 to D, a wszystko poniżej to F. Strona, która nie ładuje się normalnie (pętla przekierowań, błąd połączenia, strona błędu lub weryfikacja ochrony przed botami), nie dostaje oceny: narzędzie pokazuje wtedy przyczynę.
Który nagłówek dodać najpierw?
Strict-Transport-Security i X-Content-Type-Options: nosniff to po jednym wierszu i są bezpieczne prawie na każdej stronie. Content-Security-Policy daje najwięcej ochrony, ale wymaga testów, więc zacznij od Content-Security-Policy-Report-Only i zaostrz politykę, gdy nie będą zgłaszane naruszenia.
Dlaczego moja ocena jest niższa niż w innym skanerze?
Skanery różnie ważą nagłówki, a niektóre sprawdzają ich więcej. To narzędzie sprawdza nagłówki strony, na której domena ostatecznie ląduje po przekierowaniach – tak, jak zobaczy ją odwiedzający.
Czy linki do podglądu DNSPeek zachowują moje nagłówki bezpieczeństwa?
Nie. Aby strony działały pod adresem podglądu, DNSPeek usuwa w podglądach Strict-Transport-Security, Content-Security-Policy i X-Frame-Options. Sprawdź nagłówki w prawdziwej domenie po przełączeniu DNS, tym narzędziem.
Przenosisz stronę na nowy serwer?
Zobacz stronę na nowym serwerze, zanim zmienisz DNS: DNSPeek daje jeden link HTTPS do podglądu, który działa na dowolnym urządzeniu i który możesz udostępnić zespołowi lub klientowi. Bez pliku hosts i bez VPN.
Utwórz darmowy link do podglądu