Перейти к содержимому
ITDПлатформа веб-безопасности
ITD
Поиск

Проверка заголовков безопасности

Укажите URL своего сайта, чтобы оценить его HTTP-заголовки безопасности (CSP, HSTS, X-Frame-Options, …), с исправлениями для недостающих и готовым набором для копирования.

Сервер этого сайта запрашивает целевой URL (до 4 запросов с перенаправлениями в пределах того же хоста) и оценивает только заголовки ответа (тело не сохраняется). Доступ к внутренним / приватным адресам заблокирован.
Используйте только для сайтов, которыми вы владеете или управляете. Не используйте для проверки чужих сайтов без разрешения.

Открыть инструмент

Отправка
URL на сервер этого сайта
Хранение
Тело ответа и результаты не хранятся (URL может остаться в журналах)
Внешний API
Сервер запрашивает целевой URL (до 4 запросов)
Цель
Только ваши сайты (владение не проверяется); внутренние адреса блокируются
Подробнее
  • Введённый URL отправляется на сервер этого сайта, который запрашивает его: до 4 запросов с учётом перенаправлений, только тот же хост (с www или без), 8 секунд и 200 КБ на ответ.
  • Тело ответа и результаты не хранятся. URL может остаться в истории браузера и журналах доступа, поэтому не вводите URL с секретами.
  • Используйте для сайтов, которыми вы владеете или управляете. Владение не проверяется. Подключения к внутренним и частным адресам блокируются.
  • Сам показ страницы записывается в журнал доступа (IP-адрес, время, user agent и т. п.). На страницах инструментов не загружаются реклама и аналитика. Политика конфиденциальности
Попробовать пример (проверить сам этот сайт)

Сейчас слишком много запросов. Подождите немного и повторите попытку.

Как пользоваться

  1. 1

    Укажите URL сайта, которым вы управляете.

  2. 2

    Основные заголовки безопасности оцениваются на наличие и надёжность.

  3. 3

    Усильте «отсутствующие» / «слабые» пункты, используя показанные исправления и рекомендуемый набор.

Почему это важно

Заголовки безопасности — дешёвый и эффективный уровень защиты. CSP ограничивает влияние XSS, HSTS закрепляет трафик за HTTPS, X-Frame-Options блокирует кликджекинг — каждый из них занимает несколько строк конфигурации сервера. Начните со строгих настроек и ослабляйте только при необходимости.

Частые вопросы

QМожно ли проверять чужой сайт?
A

Инструмент запрашивает URL (до 4 запросов с перенаправлениями в пределах того же хоста) и читает заголовки ответа — без активного сканирования или атак (тот же объём, что и при открытии в браузере). Он предназначен для проверки вашего собственного сайта.

QОпасно ли всё, что ниже A?
A

Нет. Некоторые заголовки нужны не каждому сайту. Важные — это CSP, HSTS, X-Frame-Options и X-Content-Type-Options; если они на месте, вы в хорошей форме.

Похожие страницы