Vilka säkerhetsheaders skickar er webbplats?
Ange en domän och se vilka säkerhetsheaders webbplatsen skickar i dag, och vilka av dem den fullständiga kontrollen skulle rapportera som fynd.
Senast granskad
Kontrollen läser webbplatsens första sida.
Den hämtar startsidan över HTTPS, följer omdirigeringar och läser svarets headers, på samma sätt som den fullständiga kontrollen. Fungerar inte HTTPS läser den headersen över HTTP i stället. Den visar varje vanlig säkerhetsheader som satt eller saknad, och cookieflaggorna om sidan sätter cookies.
Fem headers och flaggor ger fynd.
| Vad kontrollen hittar | Fynd | Allvarlighetsgrad |
|---|---|---|
Ingen Content-Security-Policy | Security headers missing | Medel40 |
Ingen Strict-Transport-Security över HTTPS | HSTS header missing | Medel50 |
Ingen X-XSS-Protection | X-XSS-Protection header missing | Medel50 |
En cookie utan Secure över HTTPS | Insecure cookie configuration | Medel65 |
Ingen cookie med HttpOnly över HTTPS | Cookies missing httponly flag | Medel60 |
X-Content-Type-Options, X-Frame-Options, Referrer-Policy och Permissions-Policy visas så att ni ser helheten, men kontrollen poängsätter dem inte var för sig. HSTS och cookieflaggorna räknas bara över HTTPS: webbläsare bortser från HSTS över vanlig HTTP, och en cookie kan inte markeras Secure där.
Börja med HSTS och en CSP.
HSTS är en rad när HTTPS fungerar överallt. En Content-Security-Policy kräver mer omsorg, eftersom en strikt policy kan stoppa skript som sidan behöver: börja i report-only-läge, se vad den skulle blockera och slå sedan på den. Guiden om säkerhetsheaders har exempelvärden för varje header och i vilken ordning ni inför dem.
Den läser en sida vid ett tillfälle.
- Bara startsidan. Andra sidor, appar på subdomäner och API-svar kan skicka andra headers.
- Det servern skickar i dag. En header som läggs till av ett CDN eller en proxy räknas, eftersom det är vad besökarna får.
- Headers, inte beteende. En CSP som är satt men tillåter allt tar ändå bort fyndet.
Headers är en del av modulen för TLS och webbsäkerhet. Den gratis kontrollen täcker alla sex moduler på ungefär 30 sekunder.