Проверка заголовков безопасности
Оцените HTTP-заголовки безопасности любого сайта от A+ до F — с пояснением, что делает каждый заголовок и что изменить.
Что проверяет этот инструмент
DNSPeek загружает ваш домен по https:// (или по http://, если по HTTPS никто не отвечает), проходит по редиректам как браузер и читает заголовки ответа итоговой страницы. За CDN вроде Cloudflare это заголовки, которые отдают его пограничные серверы. Проверяются Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и Permissions-Policy, а также отмечаются заголовки Server или X-Powered-By, раскрывающие версии ПО.
От чего защищают заголовки
HSTS удерживает браузеры на HTTPS, чтобы никто не мог понизить соединение. CSP ограничивает, откуда можно загружать скрипты, — это главная защита от межсайтового скриптинга. X-Frame-Options не даёт другим сайтам встраивать ваш во фрейм для кликджекинга. nosniff не даёт браузерам выполнять файл как тип, отличный от заявленного. Referrer-Policy ограничивает, какие URL утекают на другие сайты, а Permissions-Policy отключает функции браузера, которые вы не используете.
После переноса
Заголовки задаёт веб-сервер или CMS, поэтому при переезде сайта они часто меняются. Сравните оценку до и после переключения. Что меняется в превью и почему, описано на странице ограничений.
Частые вопросы
Как рассчитывается оценка?
Баллы приносят шесть заголовков: Strict-Transport-Security — 25, Content-Security-Policy — 25, X-Frame-Options (или frame-ancestors в CSP) — 15, X-Content-Type-Options — 15, Referrer-Policy — 10 и Permissions-Policy — 10. Слабое значение даёт половину. 95 и выше — A+, если не раскрываются версии ПО, 85 — A, 70 — B, 55 — C, 40 — D, всё ниже — F. Страница, которая не загружается нормально (циклический редирект, ошибка соединения, страница ошибки или проверка защиты от ботов), не оценивается: вместо оценки инструмент показывает причину.
Какой заголовок добавить первым?
Strict-Transport-Security и X-Content-Type-Options: nosniff — это по одной строке, и они безопасны почти на любом сайте. Content-Security-Policy даёт больше всего защиты, но требует тестирования, поэтому начните с Content-Security-Policy-Report-Only и ужесточайте политику, когда нарушений не останется.
Почему моя оценка ниже, чем в другом сканере?
Сканеры по-разному взвешивают заголовки, а некоторые проверяют их больше. Этот инструмент проверяет заголовки страницы, на которую домен в итоге попадает после редиректов, — так, как её видит посетитель.
Сохраняют ли ссылки-превью DNSPeek мои заголовки безопасности?
Нет. Чтобы страницы работали на адресе превью, DNSPeek удаляет в превью Strict-Transport-Security, Content-Security-Policy и X-Frame-Options. Проверяйте заголовки на настоящем домене после переключения DNS — этим инструментом.
Переносите сайт на новый сервер?
Посмотрите сайт на новом сервере до смены DNS: DNSPeek даёт одну HTTPS-ссылку на превью, которая работает на любом устройстве и которой можно поделиться с командой или клиентом. Без файла hosts и без VPN.
Создать бесплатную ссылку-превью