Każdy nagłówek bezpieczeństwa dostaje zaliczenie, ostrzeżenie lub błąd, z dokładnym wierszem do dodania. Sprawdź nagłówki wysyłane przez Twoją stronę albo wklej nagłówki, które już masz, i zobacz, jak dobrze strona jest chroniona. Jest darmowe i nie wymaga konta.
Jak sprawdzić nagłówki
- Na karcie Sprawdź adres URL wpisz swoją stronę w polu Adres internetowy i naciśnij Sprawdź nagłówki.
- Albo otwórz kartę Wklej nagłówki, wklej Nagłówki odpowiedzi i naciśnij Oceń te nagłówki.
- Przeczytaj ocenę, a potem przejdź przez każdy wiersz. Każdy problem ma wiersz do dodania.
Co jest wysyłane
Przeglądarki nie mogą odczytywać nagłówków innej strony, więc gdy używasz Sprawdź adres URL, wpisany adres jest pobierany przez serwer Snowkit. Podąża za maksymalnie 5 przekierowaniami, poddaje się po 8 sekundach, odrzuca adresy prywatne i sieci lokalnej i nie przechowuje tego, co sprawdzasz. Wklejone nagłówki są oceniane w Twojej przeglądarce i nie są nigdzie wysyłane.
Najważniejsze nagłówki
Strict-Transport-Security sprawia, że przeglądarki za każdym razem używają HTTPS dla Twojej strony. Content-Security-Policy wypisuje, skąd mogą pochodzić skrypty, style i ramki, więc wstrzyknięty kod ma trudności z uruchomieniem. X-Frame-Options lub CSP frame-ancestors powstrzymuje inne strony przed ładowaniem Twojej w ukrytej ramce. X-Content-Type-Options: nosniff powstrzymuje przeglądarki przed zgadywaniem typów plików, a Referrer-Policy i Permissions-Policy ograniczają, co wycieka do innych stron i jakich funkcji przeglądarki mogą używać strony.
Jak działa ocena
Każda kontrola zaczyna jako zaliczona. HTTPS, HSTS i CSP liczą się najbardziej; ochrona przed ramkami, nosniff i flagi ciasteczek liczą się następnie; polityki referrera i uprawnień oraz numery wersji w nagłówkach liczą się najmniej. Ostrzeżenie kosztuje o połowę mniej niż błąd. Ocena to szybkie podsumowanie, więc przeczytaj każdy wiersz: ścisły CSP z krótkim czasem HSTS nadal może być bardzo dobrze chronioną stroną.
Gdzie ustawiać nagłówki
W Cloudflare Pages i Netlify dodaj je do pliku _headers. W Vercel użyj sekcji headers w vercel.json. W nginx użyj add_header, w Apache Header always set, a we frameworkach Node pomaga mały middleware. Ustaw je na każdej odpowiedzi HTML, nie tylko na stronie głównej.
Wskazówki
- Dodawaj jeden nagłówek naraz i testuj stronę po każdym, bo ścisły Content-Security-Policy może blokować rzeczy, które wcześniej działały.
- Zacznij od łatwych zwycięstw: nosniff, polityki referrera i ochrony przed ramkami.
- Sprawdź ponownie po zmianie hostingu lub dodaniu nowej usługi.
- Spójrz też na ustawienia DNS i e-mail za pomocą sprawdzania DNS.
Kto z tego korzysta
Właściciele stron i małych firm, freelancerzy przekazujący stronę i programiści przeglądający bezpieczeństwo przed premierą. Do zamiany żądania na kod zobacz konwerter curl.
Pytania
Czy dobra ocena oznacza, że moja strona jest bezpieczna?
Nie. Nagłówki to jedna warstwa ochrony. Nie zastępują aktualizacji, silnych haseł ani starannego kodu.
Dlaczego nie mogę sprawdzić adresu lokalnego?
Adresy prywatne i sieci lokalnej są odrzucane. Zamiast tego wklej nagłówki, aby ocenić je w przeglądarce.
Czy przechowuje adres mojej strony?
Nie. To, co sprawdzasz, nie jest przechowywane.