Ogni header di sicurezza riceve un esito superato, un avviso o un fallimento, con la riga esatta da aggiungere. Controlla gli header che il tuo sito invia, o incolla gli header che hai già, e scopri quanto è protetto il tuo sito. È gratis e non richiede un account.
Come controllare i tuoi header
- Nella scheda Controlla un URL, inserisci il tuo sito in Indirizzo web e premi Controlla gli header.
- Oppure apri la scheda Incolla gli header, incolla gli Header di risposta e premi Valuta questi header.
- Leggi il voto, poi passa in rassegna ogni riga. Ogni problema arriva con la riga da aggiungere.
Cosa viene inviato
I browser non possono leggere gli header di un altro sito, quindi quando usi Controlla un URL, l'indirizzo che inserisci viene recuperato dal server di Snowkit. Segue fino a 5 reindirizzamenti, si arrende dopo 8 secondi, rifiuta indirizzi di reti private e locali e non salva ciò che controlli. Gli header incollati vengono valutati nel tuo browser e non vengono inviati da nessuna parte.
Gli header che contano di più
Strict-Transport-Security fa usare ai browser HTTPS per il tuo sito ogni volta. Content-Security-Policy elenca da dove possono provenire script, stili e frame, così il codice iniettato fatica a essere eseguito. X-Frame-Options o il frame-ancestors di CSP impedisce ad altri siti di caricare il tuo in un frame nascosto. X-Content-Type-Options: nosniff impedisce ai browser di indovinare i tipi di file, e Referrer-Policy e Permissions-Policy limitano ciò che trapela verso altri siti e quali funzioni del browser le pagine possono usare.
Come funziona il voto
Ogni controllo parte come superato. HTTPS, HSTS e CSP contano di più; la protezione dai frame, nosniff e i flag dei cookie contano subito dopo; le policy su referrer e permessi e i numeri di versione negli header contano meno. Un avviso costa la metà di un fallimento. Il voto è un riepilogo rapido, quindi leggi ogni riga: una CSP rigida con un HSTS breve può comunque essere un sito molto ben protetto.
Dove impostare gli header
Su Cloudflare Pages e Netlify, aggiungili a un file _headers. Su Vercel, usa la sezione headers di vercel.json. Con nginx usa add_header, con Apache usa Header always set, e nei framework Node funziona un piccolo middleware. Impostali su ogni risposta HTML, non solo sulla home page.
Consigli
- Aggiungi un header alla volta e prova il tuo sito dopo ognuno, perché una Content-Security-Policy rigida può bloccare cose che funzionavano.
- Parti dalle vittorie facili: nosniff, una referrer policy e la protezione dai frame.
- Controlla di nuovo dopo aver cambiato hosting o aggiunto un nuovo servizio.
- Guarda anche la configurazione DNS e email, con la ricerca DNS.
Chi lo usa
Titolari di siti web e di piccole attività, freelance che consegnano un sito e sviluppatori che rivedono la sicurezza prima di un lancio. Per trasformare una richiesta in codice, vedi il convertitore cURL.
Domande
Un buon voto significa che il mio sito è sicuro?
No. Gli header sono un livello di protezione. Non sostituiscono aggiornamenti, password robuste o codice scritto con cura.
Perché non riesco a controllare un indirizzo locale?
Gli indirizzi di rete privata e locale vengono rifiutati. Incolla invece gli header per valutarli nel tuo browser.
Salva l'indirizzo del mio sito?
No. Ciò che controlli non viene salvato.