Header & Cookies

Diese Gruppe hilft Ihnen, die HTTP-Konfiguration einer Website zu prüfen und abzusichern. Sie umfasst Sicherheitsheader, CSP-Konstruktor und Cookie-Inspektor. Entwickler, Administratoren und Auditoren können sie vor einer Veröffentlichung, bei der Fehlersuche bei einem CORS-Problem oder beim Prüfen von Cookie-Attributen verwenden. Für diese fünf Werkzeuge ist kein Konto nötig, und die Verarbeitung bleibt lokal.

Beginnen Sie mit Sicherheitsheader-Audit, wenn Sie einen breiten Überblick über fehlende Schutzmaßnahmen wünschen. Um eine Richtlinie zu erstellen, verwenden Sie CSP-Konstruktor, dann Sicherheitsheader, um eine konsistente Grundlage zusammenzustellen. CORS-Tester beantwortet eine engere Frage zu einem Origin, und Cookie-Inspektor beschreibt Secure, HttpOnly und SameSite. Wählen Sie das Werkzeug danach, ob Sie messen, erzeugen, testen oder prüfen.

Bedienung

  1. Um die aktuelle Einrichtung zu messen, führen Sie zuerst den Audit der Sicherheitsheader aus und notieren Sie, welche Schutzmaßnahmen fehlen, bevor Sie etwas ändern.
  2. Um eine Richtlinie vorzubereiten, öffnen Sie den CSP-Konstruktor und verwenden Sie dann Sicherheitsheader, um eine konsistente Basis rund um erlaubte Inhalte zusammenzustellen.
  3. Für einen bestimmten Aufruf verwenden Sie den CORS-Tester mit der beteiligten Origin und Adresse und prüfen Sie dann, ob der Zugriff erlaubt ist.
  4. Schließen Sie mit dem Cookie-Inspektor ab, um Secure, HttpOnly und SameSite zu prüfen und schwache Einstellungen zu erkennen.

Häufige Fragen

Kann ich diese Werkzeuge verwenden, ohne eine Erweiterung zu installieren?

Ja. Die fünf Werkzeuge auf dieser Seite funktionieren direkt im Browser, ohne Konto und ohne Installation. Sie fügen die benötigten Angaben ein oder geben sie ein und lesen dann das Ergebnis. Das erleichtert schnelle Prüfungen vor einer Veröffentlichung oder während einer Konfigurationsüberprüfung.

Was ist der Unterschied zwischen CSP-Konstruktor und dem Header-Audit?

CSP-Konstruktor hilft Ihnen, eine Content-Security-Policy zu schreiben, während der Audit bereits vorhandene Header auf einer Seite misst. Der eine bereitet eine Konfiguration vor und der andere prüft den aktuellen Zustand. Sie können beide verketten, um Ihre beabsichtigte Richtlinie mit dem zu vergleichen, was beobachtet wird.

Gibt Cookie-Inspektor sensible Werte preis?

Er zeigt die Attribute von Cookies an, die von einer Seite gesetzt werden, wie Secure, HttpOnly und SameSite. Das hilft, schwache Einstellungen zu erkennen. Denken Sie daran, dass ein Cookie-Wert Sitzungsdaten enthalten kann, behandeln Sie ihn daher sorgfältig und vermeiden Sie unnötiges Teilen.

In welcher Reihenfolge sollte ich den Audit und den CSP-Konstruktor verketten?

Beginnen Sie mit dem Audit der Sicherheitsheader, um zu sehen, was fehlt, und wechseln Sie dann zum CSP-Konstruktor, um eine geeignete Richtlinie zu schreiben. Kehren Sie zu Sicherheitsheader zurück, um die resultierende Basis mit dem aktuellen Zustand zu vergleichen. Diese Reihenfolge verhindert, dass Sie eine Richtlinie entwerfen, ohne den Ausgangspunkt zu kennen.

Ersetzt der CORS-Tester eine Cookie-Prüfung?

Nein. Der CORS-Tester prüft, ob eine Origin eine Adresse aufrufen darf, während der Cookie-Inspektor die Attribute Secure, HttpOnly und SameSite liest. Diese beiden Prüfungen beantworten unterschiedliche Fragen. Verwenden Sie sie zusammen, um Austausch und Sitzungsdaten abzudecken.

Werkzeuge derselben Kategorie