Oceń nagłówki bezpieczeństwa witryny

Dla programistów i administratorów sprawdzających wydanie lub ustalających, które mechanizmy ochrony przeglądarki nie są jeszcze aktywne.

Oceń zabezpieczenia HTTP rzeczywiście wysyłane przez witrynę i zobacz, których ważnych nagłówków brakuje albo które wymagają poprawy.

Jak używać

Wpisz adres strony, którą chcesz przetestować.
Uruchom test, aby zlecić analizę nagłówków HTTP.
Poczekaj, aż serwer narzędzia zapyta cel i zwróci odpowiedź.
Przejrzyj listę zabezpieczeń, które są obecne lub których brakuje.
Zanotuj nagłówki do wzmocnienia przed wdrożeniem produkcyjnym.

Przykład

Administrator przygotowuje się do uruchomienia strony małej firmy. Uruchamia audyt na adresie testowym, a następnie porównuje nagłówki oznaczone jako brakujące ze swoją konfiguracją. Używa tej listy do zaplanowania poprawek przed publicznym uruchomieniem.

Ograniczenia i formaty

Wynik zależy od odpowiedzi docelowej strony w momencie testu; zmiana konfiguracji może zmienić audyt.
Narzędzie nie naprawia nagłówków: podaje listę punktów do sprawdzenia i samodzielnej konfiguracji.
Niektóre nagłówki mogą być dodawane przez CDN, proxy lub serwer aplikacji, a nie tylko przez aplikację.
Brakujący nagłówek nie zawsze jest luką podatną na wykorzystanie, ale osłabia zabezpieczenie defensywne.

Gdzie odbywa się przetwarzanie

To narzędzie sieciowe wysyła domenę, adres IP lub URL, które wprowadzisz, do serwera narzędzia. Serwer ten następnie odpytuje publiczny DNS lub docelową stronę i zwraca wynik. Żaden plik nie jest wysyłany.

Częste pytania

Dlaczego brakuje niektórych nagłówków?

Mogą być nieobecne, ponieważ serwer, CDN lub aplikacja ich nie dodaje. Częściowa konfiguracja lub starszy szablon wdrożenia często wyjaśnia tę lukę. Audyt pomaga dostrzec te pominięcia przed poprawieniem łańcucha dostarczania.

Czy mogę przetestować stronę, która nie należy do mnie?

Technicznie narzędzie odpytuje adres, który podasz. W przypadku strony, którą nie zarządzasz, ogranicz się do publicznego sprawdzenia i przestrzegaj warunków użytkowania. Nie wykorzystuj wyniku do zgłaszania poprawki, której nie możesz zastosować.

Jak często należy uruchamiać audyt?

Uruchom go ponownie po zmianie serwera, CDN, frameworka lub konfiguracji bezpieczeństwa. Sprawdzenie przed każdym większym wydaniem jest przydatne. Pomiędzy nimi regularne monitorowanie pomaga wykryć regresję lub przypadkowo usunięty nagłówek.

Czy audyt sam naprawia brakujące nagłówki?

Nie. Narzędzie nie naprawia nagłówków ani nie zmienia konfiguracji serwera. Pokazuje listę zabezpieczeń obecnych i brakujących, które należy sprawdzić i wdrożyć samodzielnie. Niektóre nagłówki mogą pochodzić z CDN, proxy lub serwera aplikacji, a nie wyłącznie z aplikacji. Po audycie popraw konfigurację w odpowiednim miejscu i ponownie przetestuj odpowiedź.

Czy brak nagłówka zawsze oznacza lukę, którą można wykorzystać?

Nie zawsze. Brakujący nagłówek nie musi od razu oznaczać luki możliwej do wykorzystania, ale osłabia jedną z warstw ochronnych. Wynik zależy od odpowiedzi witryny w chwili testu, więc zmiana konfiguracji może zmienić audyt. Traktuj brak jako sygnał do przeglądu, a nie jako dowód rzeczywistego problemu.