Проверка безопасности HTTP-заголовков

Проверка пунктов защиты в заголовках HTTP-ответа

Особенности

Основные заголовки безопасности

Список состояния настройки 10 видов заголовков, включая HSTS и CSP

Визуализация уровня безопасности баллом

Отображение доли настроенных пунктов (кроме нерекомендуемых) баллом и значком

Указание ненастроенных заголовков

Проверка недостающих заголовков и роли каждого пункта тут же

Отображение всех заголовков ответа

Список всех заголовков, включая не относящиеся к безопасности

Как пользоваться

Ввод URL

Введите в поле URL изучаемого сайта, можно выбрать и из примеров

Запуск проверки

После нажатия кнопки запуска заголовки получаются и анализируются на стороне сервера

Проверка балла и деталей

Проверьте общий уровень безопасности по значку балла, а состояние настройки каждого заголовка — по таблице

Примеры использования

Проверка безопасности своего сайта

Регулярная проверка достаточности мер по заголовкам действующего сайта

Обнаружение пробелов в защите

Выявление ненастроенных заголовков и определение пунктов, которые нужно добавить

Исследование настроек других сайтов

Проверка подхода к настройке заголовков сайтов, взятых за образец

Финальная проверка перед публикацией

Проверка пропусков в настройке заголовков безопасности перед релизом

Базовые знания

Что такое заголовки безопасности

Заголовки безопасности — это обобщающий термин для заголовков, которые сервер добавляет в ответ, чтобы передать браузеру инструкции по безопасности. Их настройка позволяет укрепить защиту от прослушивания, подделки личности и несанкционированного внедрения кода.

Типичные заголовки безопасности

HSTS：HSTS (Strict-Transport-Security) — это заголовок, который инструктирует браузер всегда использовать HTTPS для последующих обращений.
CSP：CSP (Content-Security-Policy) — это заголовок, который ограничивает источники разрешённых скриптов и изображений, предотвращая выполнение вредоносного кода.
X-Frame-Options：X-Frame-Options — это заголовок, который ограничивает встраивание страницы в iframe других сайтов и защищает от атак перехвата клика.