安全标头检查
我们获取公共 URL 的响应标头（不含正文），并逐项检查防护性标头。
示例:
网络上一些最有效的防护,只是在服务器上设置一次的简单 HTTP 响应头。本检查获取公开 URL 的响应头,跟随重定向直到最终页面,并逐项评估:
- Strict-Transport-Security 让浏览器只使用 HTTPS。
- Content-Security-Policy 限制脚本和其他资源可以从哪里加载,并通过
frame-ancestors限制谁可以嵌入该页面。 - X-Content-Type-Options: nosniff 阻止浏览器猜测文件类型。
- Referrer-Policy 控制向其他网站传递多少 URL 信息。
- Permissions-Policy 关闭网站不使用的浏览器功能。
- Cross-Origin-Opener-Policy 将页面与其打开的窗口隔离。
暴露在 Server 或 X-Powered-By 中的软件版本也会被标出。结果是一份检查清单,而不是安全评分:响应头只是众多防护层中的一层。
常见问题
为什么少于六个月的 HSTS 被视为偏弱?
浏览器只会在 max-age 秒内记住必须使用 HTTPS。六个月到一年是常见建议,也是加入浏览器预加载列表的前提。
还需要 X-Frame-Options 吗?
在现代浏览器中,CSP 的 frame-ancestors 指令可以取代它。在这里,两者任一都算作防嵌入保护。
工具会发送普通请求以外的内容吗?
不会。每个重定向步骤只发送一次普通的 GET 请求,只读取响应头,然后关闭连接。