安全响应头检测
检查网站是否发送浏览器依赖的 HTTP 安全响应头——HSTS、Content-Security-Policy、X-Frame-Options 等，并给出 A+ 到 F 的评分。
工作原理
评分如何计算
六项检查
每个存在且配置合理的响应头得 1 分，配置较弱得 0.5 分。6 分为 A+，5 分为 A，4 分为 B，依此类推直到 F。
以最终响应为准
会跟随重定向，对最终页面的响应头评分，因为这才是访客实际加载的页面。
在边缘添加
如果无法修改应用程序，CDN 可以为每个响应自动添加安全响应头。
FAQ
常见问题
添加 Content-Security-Policy 难吗？
先使用 Content-Security-Policy-Report-Only 收集违规报告而不拦截任何内容，报告干净后再切换为强制生效的响应头。
HSTS 会影响子域名吗？
仅在设置 includeSubDomains 时会。确认所有子域名都支持 HTTPS 后再添加，之后可考虑加入 preload 列表。
为什么不检查 X-XSS-Protection？
现代浏览器已移除该响应头控制的 XSS 过滤器，Content-Security-Policy 是它的替代方案。