Setiap header keamanan mendapat lolos, peringatan, atau gagal, dengan baris persis untuk ditambahkan. Periksa header yang dikirim situs web Anda, atau tempel header yang sudah Anda punya, dan lihat seberapa baik situs Anda terlindungi. Gratis dan tanpa akun.
Cara memeriksa header Anda
- Di tab Periksa URL, masukkan situs Anda di Alamat web dan tekan Periksa header.
- Atau buka tab Tempel header, tempel Header respons, dan tekan Nilai header ini.
- Baca nilainya, lalu telusuri setiap baris. Setiap masalah disertai baris yang perlu ditambahkan.
Apa yang dikirim
Browser tidak bisa membaca header situs lain, jadi saat Anda memakai Periksa URL, alamat yang Anda masukkan diambil oleh server Snowkit. Mengikuti hingga 5 pengalihan, menyerah setelah 8 detik, menolak alamat jaringan privat dan lokal, dan tidak menyimpan apa yang Anda periksa. Header yang ditempel dinilai di browser Anda dan tidak dikirim ke mana pun.
Header yang paling penting
Strict-Transport-Security membuat browser memakai HTTPS untuk situs Anda setiap saat. Content-Security-Policy mencantumkan dari mana skrip, gaya, dan frame boleh berasal, sehingga kode yang disusupkan sulit berjalan. X-Frame-Options atau CSP frame-ancestors menghentikan situs lain memuat situs Anda di frame tersembunyi. X-Content-Type-Options: nosniff menghentikan browser menebak jenis file, dan Referrer-Policy dan Permissions-Policy membatasi apa yang bocor ke situs lain dan fitur browser mana yang bisa dipakai halaman.
Cara kerja penilaian
Setiap pemeriksaan dimulai sebagai lolos. HTTPS, HSTS, dan CSP paling berbobot; perlindungan frame, nosniff, dan flag cookie berikutnya; kebijakan referrer dan permissions serta nomor versi di header paling ringan. Peringatan berharga setengah dari gagal. Nilai adalah ringkasan cepat, jadi baca setiap baris: CSP ketat dengan waktu HSTS pendek tetap bisa menjadi situs yang sangat terlindungi.
Di mana mengatur header
Di Cloudflare Pages dan Netlify, tambahkan ke file _headers. Di Vercel, gunakan bagian headers di vercel.json. Dengan nginx gunakan add_header, dengan Apache gunakan Header always set, dan di framework Node middleware kecil bisa dipakai. Atur pada setiap respons HTML, bukan hanya halaman utama.
Tips
- Tambahkan satu header sekali dan uji situs Anda setelah masing-masing, karena Content-Security-Policy yang ketat bisa memblokir hal yang tadinya berfungsi.
- Mulai dari yang mudah: nosniff, kebijakan referrer, dan perlindungan frame.
- Periksa lagi setelah Anda mengubah hosting atau menambah layanan baru.
- Lihat juga pengaturan DNS dan email dengan pencarian DNS.
Siapa yang memakainya
Pemilik situs web dan usaha kecil, freelancer yang menyerahkan situs, dan developer yang meninjau keamanan sebelum peluncuran. Untuk mengubah permintaan menjadi kode, lihat konverter curl.
Pertanyaan
Apakah nilai bagus berarti situs saya aman?
Tidak. Header hanyalah satu lapisan perlindungan. Header tidak menggantikan pembaruan, kata sandi kuat, atau kode yang cermat.
Mengapa saya tidak bisa memeriksa alamat lokal?
Alamat jaringan pribadi dan lokal ditolak. Tempel header-nya untuk dinilai di browser Anda.
Apakah alamat situs saya disimpan?
Tidak. Yang Anda periksa tidak disimpan.