Проверка заголовков безопасности
Проверьте, отправляет ли сайт HTTP-заголовки безопасности, на которые полагаются браузеры, — HSTS, Content-Security-Policy, X-Frame-Options и другие — и получите оценку от A+ до F.
Как это работает
Как рассчитывается оценка
Шесть проверок
Каждый присутствующий и корректный заголовок даёт один балл, слабое значение — половину. Шесть баллов — A+, пять — A, четыре — B и так далее до F.
Учитывается итоговый ответ
Перенаправления отслеживаются, и оцениваются заголовки конечной страницы, ведь именно её загружают посетители.
Добавьте их на edge
Если изменить приложение нельзя, CDN может добавлять заголовки безопасности к каждому ответу.
FAQ
Частые вопросы
Сложно ли добавить Content-Security-Policy?
Начните с Content-Security-Policy-Report-Only, чтобы собирать нарушения без блокировки, а когда отчёты станут чистыми, переключитесь на обязательный заголовок.
Влияет ли HSTS на поддомены?
Только с includeSubDomains. Добавляйте его, когда все поддомены работают по HTTPS, а затем рассмотрите список preload.
Почему не проверяется X-XSS-Protection?
Современные браузеры удалили XSS-фильтр, которым управлял этот заголовок. Ему на смену пришёл Content-Security-Policy.
Другие бесплатные инструменты
Все инструментыWAF, защита от ботов и лимиты запросов