Siirry sisältöön
ipaddress.fi

Tietoturvaotsakkeiden tarkistus

Haemme julkisen URL:n vastausotsakkeet (ilman sisältöä) ja tarkistamme suojaavat otsakkeet yksi kerrallaan.

Esimerkkejä:

Osa tehokkaimmista verkkosuojauksista on tavallisia HTTP-vastausotsakkeita, jotka asetetaan kerran palvelimelle. Tarkistus hakee julkisen URL:n vastausotsakkeet, seuraa uudelleenohjaukset lopulliselle sivulle ja tarkistaa otsakkeet yksi kerrallaan:

  • Strict-Transport-Security saa selaimet käyttämään vain HTTPS:ää.
  • Content-Security-Policy rajaa, mistä skriptit ja muut resurssit saa ladata, ja frame-ancestors-direktiivillä, kuka saa upottaa sivun.
  • X-Content-Type-Options: nosniff estää selaimia arvaamasta tiedostotyyppejä.
  • Referrer-Policy määrää, kuinka paljon URL:sta välitetään muille sivustoille.
  • Permissions-Policy kytkee pois selaimen ominaisuudet, joita sivusto ei käytä.
  • Cross-Origin-Opener-Policy eristää sivun sen avaamista ikkunoista.

Lisäksi se huomauttaa Server- tai X-Powered-By-otsakkeissa paljastetuista ohjelmistoversioista. Tulos on tarkistuslista eikä tietoturvaluokitus: otsakkeet ovat yksi suojakerros monien joukossa.

Usein kysyttyä

Miksi alle kuuden kuukauden HSTS merkitään heikoksi?

Selaimet muistavat HTTPS-vaatimuksen vain max-age-sekuntien ajan. Puolesta vuodesta vuoteen on tavallinen suositus, ja selainten preload-listat edellyttävät sitä.

Tarvitaanko X-Frame-Optionsia vielä?

CSP:n frame-ancestors-direktiivi korvaa sen nykyselaimissa. Kumpi tahansa kelpaa tässä kehyssuojaukseksi.

Lähettääkö työkalu muuta kuin tavallisen pyynnön?

Ei. Se lähettää yhden tavallisen GET-pyynnön jokaista uudelleenohjausta kohden, lukee vain otsakkeet ja sulkee yhteyden.

Aiheeseen liittyvää