أداة فحص رؤوس الأمان

Strict-Transport-Security HSTS

يطلب من المتصفحات دائمًا استخدام https لموقعكم، حتى لا يمكن خفض الاتصال بهدوء إلى http على شبكة غير موثوقة.

Strict-Transport-Security: max-age=31536000; includeSubDomains

ستة أشهر (15552000 ثانية) هي الحد الأدنى الذي تعتبره Gmork قويًا. أضف includeSubDomains فقط إذا كان كل نطاق فرعي يستخدم https.

Content-Security-Policy CSP

يحدد من أين يمكن تحميل السكريبتات والأنماط والصور والإطارات. يضعف السكريبتات المحقونة، مثل أدوات سرقة البطاقات، التي تشير إلى نطاق المهاجم.

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

ابدأ باستخدام Content-Security-Policy-Report-Only لمعرفة ما الذي قد يتعطل، ثم قم بالتفعيل. وضع report-only وحده لا يمنع أي شيء.

X-Frame-Options XFO

يمنع المواقع الأخرى من عرض صفحاتكم داخل إطار لخداع الزوار للنقر (clickjacking). قاعدة frame-ancestors في CSP تؤدي نفس الوظيفة وتُحتسب هنا.

X-Frame-Options: DENY

استخدم SAMEORIGIN إذا كان موقعكم يعرض صفحاته داخل إطارات.

X-Content-Type-Options XCTO

يمنع المتصفح من تخمين أنواع الملفات، حتى لا يمكن تشغيل ملف مرفوع كسكريبت.

X-Content-Type-Options: nosniff

القيمة الوحيدة الصحيحة هي nosniff.

Referrer-Policy RP

يتحكم في مقدار عنوان صفحتكم الذي يُرسل إلى مواقع أخرى عندما ينقر الزوار أو عند تحميل موارد خارجية.

Referrer-Policy: strict-origin-when-cross-origin

تجنب unsafe-url، حيث يرسل العناوين الكاملة، بما في ذلك سلاسل الاستعلام، إلى كل موقع.

Permissions-Policy PP

يعطل ميزات المتصفح التي لا يستخدمها موقعكم، مثل الكاميرا أو الميكروفون أو الموقع الجغرافي، حتى لا يمكن للرموز المحقونة أو العناصر المدمجة طلبها.

Permissions-Policy: camera=(), microphone=(), geolocation=()

لا تترك أي ميزة يحتاجها الموقع فعليًا، أو اسمح بها لنطاقكم فقط باستخدام (self).

إفصاح البرمجيات معلومات

يفحص المدقق أيضًا ترويسة X-Powered-By، أو ترويسة Server مع رقم إصدار مثل nginx/1.18.0. هذه ليست ثغرات بحد ذاتها، لكنها تجعل من السهل اكتشاف البرمجيات القديمة. لا تُحتسب أبدًا ضمن الستة.

معظم الخوادم والأطر البرمجية يمكنها إزالتها، مثل server_tokens off في nginx.