Hoppa till innehållet
ipaddress.fi

Kontroll av säkerhetshuvuden

Vi hämtar svarshuvudena för en offentlig URL (utan innehåll) och kontrollerar de skyddande huvudena ett i taget.

Exempel:

Några av de mest effektiva webbskydden är vanliga HTTP-svarshuvuden som ställs in en gång på servern. Kontrollen hämtar svarshuvudena för en offentlig URL, följer omdirigeringar till den slutliga sidan och kontrollerar dem ett i taget:

  • Strict-Transport-Security får webbläsare att bara använda HTTPS.
  • Content-Security-Policy begränsar varifrån skript och andra resurser får laddas, och med frame-ancestors vem som får bädda in sidan.
  • X-Content-Type-Options: nosniff hindrar webbläsare från att gissa filtyper.
  • Referrer-Policy styr hur mycket av URL:en som skickas vidare till andra webbplatser.
  • Permissions-Policy stänger av webbläsarfunktioner som webbplatsen inte använder.
  • Cross-Origin-Opener-Policy isolerar sidan från fönster den öppnar.

Den flaggar också programversioner som avslöjas i Server eller X-Powered-By. Resultatet är en checklista, inte ett säkerhetsbetyg: huvuden är ett skyddslager bland många.

Vanliga frågor

Varför räknas HSTS under sex månader som svagt?

Webbläsare kommer ihåg HTTPS-kravet bara i max-age sekunder. Ett halvår till ett år är den vanliga rekommendationen och krävs för webbläsarnas preload-listor.

Behövs X-Frame-Options fortfarande?

Direktivet frame-ancestors i CSP ersätter det i moderna webbläsare. Vilket som helst av dem räknas här som ramskydd.

Skickar verktyget något annat än en vanlig förfrågan?

Nej. Det skickar en vanlig GET-förfrågan per omdirigeringshopp, läser bara huvudena och stänger förbindelsen.

Relaterat