İçeriğe geç
ipaddress.fi

Güvenlik Başlıkları Denetimi

Genel bir URL'nin yanıt başlıklarını (gövde olmadan) alır ve koruyucu başlıkları tek tek denetleriz.

Örnekler:

Webdeki en etkili korumaların bazıları, sunucuda bir kez ayarlanan basit HTTP yanıt başlıklarıdır. Denetim, genel bir URL’nin yanıt başlıklarını alır, son sayfaya kadar yönlendirmeleri izler ve tek tek değerlendirir:

  • Strict-Transport-Security tarayıcıların yalnızca HTTPS kullanmasını sağlar.
  • Content-Security-Policy betiklerin ve diğer kaynakların nereden yüklenebileceğini, frame-ancestors ile de sayfayı kimin gömebileceğini sınırlar.
  • X-Content-Type-Options: nosniff tarayıcıların dosya türünü tahmin etmesini engeller.
  • Referrer-Policy URL’nin ne kadarının başka sitelere iletileceğini belirler.
  • Permissions-Policy sitenin kullanmadığı tarayıcı özelliklerini kapatır.
  • Cross-Origin-Opener-Policy sayfayı açtığı pencerelerden yalıtır.

Server ya da X-Powered-By içinde açığa çıkan yazılım sürümleri de işaretlenir. Sonuç bir kontrol listesidir, bir güvenlik notu değil: Başlıklar birçok koruma katmanından yalnızca biridir.

Sık sorulan sorular

Altı aydan kısa HSTS neden zayıf sayılıyor?

Tarayıcılar HTTPS zorunluluğunu yalnızca max-age saniye boyunca hatırlar. Altı ay ile bir yıl olağan öneridir ve tarayıcıların preload listelerinin ön koşuludur.

X-Frame-Options hâlâ gerekli mi?

Modern tarayıcılarda CSP'nin frame-ancestors yönergesi onun yerini alır. Burada ikisinden biri çerçeve koruması olarak sayılır.

Araç normal bir istekten farklı bir şey gönderiyor mu?

Hayır. Yönlendirme adımı başına sıradan bir GET isteği gönderir, yalnızca başlıkları okur ve bağlantıyı kapatır.

İlgili