安全响应头检测
输入你自己网站的 URL，即可为 CSP、HSTS、X-Frame-Options 等 HTTP 安全响应头评分，并给出缺失配置的修复方法和可直接复制粘贴的推荐配置。
本工具由本站服务器对目标 URL 发起请求（含同一主机内的重定向最多 4 次），且只评估响应头，不会保存正文。对内网及私有地址的访问已被拦截。
请仅对你拥有或管理的网站使用。请勿在未经许可的情况下用于探测他人的网站。
- 发送
- 将URL发送到本站服务器
- 保存
- 不保存响应正文和结果（URL可能留在日志中）
- 外部API
- 服务器获取目标URL（最多4次请求）
- 对象
- 仅限你自己的网站（不验证所有权），阻断内部地址
详细说明
- 输入的URL会发送到本站服务器，由服务器获取该URL：包括重定向在内最多4次请求，仅限同一主机（可带或不带www），每次8秒、200KB以内。
- 不保存响应正文和诊断结果。URL可能留在浏览器历史和访问日志中，请勿输入包含机密信息的URL。
- 请用于你拥有或管理的网站。本工具不验证所有权，并阻断对内部或私有地址的连接。
- 页面本身的访问会记录在访问日志中（IP地址、时间、用户代理等）。工具页面不加载广告和访问分析。 隐私政策
用示例试一下（检测本站自身）
当前访问过于集中。请稍等片刻后再试。
使用方法
- 1
输入一个你自己管理的网站 URL。
- 2
对主要安全响应头的有无与强度进行评分。
- 3
依据显示的修复方法和推荐配置，加固「未配置」「偏弱」的项目。
为什么重要
安全响应头是“纵深防御”中低成本且高效的一招。用 CSP 抑制 XSS 的影响，用 HSTS 将通信长期固定为 HTTPS，用 X-Frame-Options 防御点击劫持——每一项都只需在服务器配置中加几行。惯例是先从严格的默认值开始，再按需放宽。
常见问题
Q可以检测别人的网站吗？
A
本工具对目标 URL 发起请求（含同一主机内的重定向最多 4 次）并查看响应头，不进行主动扫描或攻击（与用浏览器打开它的范围相同）。不过其用途定位于“检查你自己的网站”。
Q不是满分（A）就危险吗？
A
不是。根据网站性质，有些响应头并不需要。重要的是 CSP、HSTS、X-Frame-Options、X-Content-Type-Options。只要这些齐备，实际使用中就已足够稳固。