Перевірка безпеки заголовків HTTP

Перевірка пунктів безпеки в HTTP-заголовках відповіді

Особливості

Основні заголовки безпеки

Відображення списком стану налаштувань 10 видів заголовків, як-от HSTS та CSP

Візуалізація рівня безпеки оцінкою

Відображення частки налаштованих пунктів (без нерекомендованих) у балах та значку

Чітке зазначення неналаштованих заголовків

Перевірка на місці відсутніх заголовків та ролі кожного пункту

Показ усіх заголовків відповіді

Перегляд списком усіх заголовків, зокрема й тих, що не стосуються безпеки

Як користуватися

Введення URL

Впишіть у поле URL сайту, який потрібно дослідити; можна обрати і зі зразка

Виконання перевірки

Після натискання кнопки виконання заголовки отримуються та аналізуються на боці сервера

Перегляд оцінки та деталей

Перевірте загальний рівень безпеки за значком оцінки, а стан налаштувань кожного заголовка — у таблиці

Сценарії використання

Перевірка безпеки власного сайту

Регулярна перевірка, чи достатні заходи захисту заголовків діючого сайту

Виявлення прогалин у захисті

Виявлення неналаштованих заголовків та визначення пунктів, які слід додати

Дослідження налаштувань інших сайтів

Перегляд підходу до налаштування заголовків на сайтах, які варто взяти за приклад

Остаточна перевірка перед публікацією

Перевірка прогалин у налаштуваннях заголовків безпеки перед випуском

Базові знання

Що таке заголовки безпеки

Заголовки безпеки — це загальна назва для заголовків, які сервер додає до відповіді, щоб передати браузеру вказівки щодо безпеки. Їх налаштування дозволяє посилити захист від прослуховування, видавання себе за іншого, несанкціонованого вбудовування та інших загроз.

Типові заголовки безпеки

HSTS：HSTS (Strict-Transport-Security) — це заголовок, який вказує браузеру завжди використовувати HTTPS для подальшого доступу.
CSP：CSP (Content-Security-Policy) — це заголовок, який обмежує джерела дозволених скриптів і зображень, щоб запобігти виконанню шкідливого коду.
X-Frame-Options：X-Frame-Options — це заголовок, який обмежує вбудовування сторінки в iframe інших сайтів, запобігаючи атакам типу clickjacking.