Перевірка заголовків безпеки
Оцініть HTTP-заголовки безпеки будь-якого сайту від A+ до F і дізнайтеся, що робить кожен заголовок і що змінити.
Що перевіряє цей інструмент
DNSPeek завантажує ваш домен з https:// (або з http://, якщо через HTTPS ніхто не відповідає), проходить його редиректи, як браузер, і читає заголовки відповіді кінцевої сторінки. За CDN, як-от Cloudflare, це заголовки, які надсилає його edge-сервер. Він перевіряє Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy і Permissions-Policy та відзначає заголовки Server чи X-Powered-By, що розкривають версії ПЗ.
Від чого захищають заголовки
HSTS утримує браузери на HTTPS, щоб ніхто не міг понизити зʼєднання. CSP обмежує, звідки можуть завантажуватися скрипти, — це основний захист від міжсайтового скриптингу. X-Frame-Options не дає іншим сайтам вбудовувати ваш у фрейм для клікджекінгу. nosniff не дає браузерам виконувати файл як інший тип, ніж заявлено. Referrer-Policy обмежує, які URL потрапляють на інші сайти, а Permissions-Policy вимикає функції браузера, якими ви не користуєтеся.
Після перенесення
Заголовки встановлює вебсервер або CMS, тому під час перенесення сайту вони часто змінюються. Порівняйте оцінку до й після перемикання. Що змінюють превʼю і чому, описано на сторінці обмежень.
Поширені запитання
Як розраховується оцінка?
Бали дають шість заголовків: Strict-Transport-Security — 25, Content-Security-Policy — 25, X-Frame-Options (або frame-ancestors у CSP) — 15, X-Content-Type-Options — 15, Referrer-Policy — 10 і Permissions-Policy — 10. Слабке значення дає половину. 95 і більше — A+, якщо не розкриваються версії ПЗ, 85 — A, 70 — B, 55 — C, 40 — D, усе нижче — F. Сторінка, що не завантажується нормально (цикл редиректів, збій зʼєднання, сторінка помилки чи перевірка захисту від ботів), не оцінюється: натомість інструмент показує чому.
Який заголовок додати першим?
Strict-Transport-Security і X-Content-Type-Options: nosniff — це по одному рядку, і вони безпечні майже для будь-якого сайту. Content-Security-Policy захищає найкраще, але потребує тестування, тож почніть із Content-Security-Policy-Report-Only і посилюйте політику, коли порушень більше не буде.
Чому моя оцінка нижча, ніж в іншому сканері?
Сканери по-різному зважують заголовки, а деякі перевіряють їх більше. Цей інструмент перевіряє заголовки сторінки, на яку зрештою потрапляє ваш домен після редиректів, — так, як її бачить відвідувач.
Чи зберігають посилання-превʼю DNSPeek мої заголовки безпеки?
Ні. Щоб сторінки працювали на адресі превʼю, DNSPeek видаляє в превʼю Strict-Transport-Security, Content-Security-Policy і X-Frame-Options. Перевірте заголовки на справжньому домені після перемикання DNS за допомогою цього інструмента.
Переносите сайт на новий сервер?
Подивіться сайт на новому сервері до зміни DNS: DNSPeek дає одне HTTPS-посилання на превʼю, яке працює на будь-якому пристрої і яким можна поділитися з командою чи клієнтом. Без файлу hosts і без VPN.
Створити безкоштовне посилання-превʼю