בודק כותרות אבטחה

Strict-Transport-Security HSTS

מודיע לדפדפנים להשתמש תמיד ב-https עבור האתר שלך, כך שלא ניתן להוריד את החיבור בשקט ל-http ברשת לא מהימנה.

Strict-Transport-Security: max-age=31536000; includeSubDomains

שישה חודשים (15552000 שניות) הם המינימום ש-Gmork רואה כחזק. יש להוסיף includeSubDomains רק אם לכל תת-הדומיינים יש https.

Content-Security-Policy CSP

מפרט מאילו מקורות ניתן לטעון סקריפטים, עיצובים, תמונות ומסגרות. זה מחליש סקריפטים מוזרקים, כמו כאלה שגונבים פרטי כרטיס אשראי, שמפנים לדומיין של תוקף.

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

התחילו עם Content-Security-Policy-Report-Only כדי לראות מה יישבר, ואז החילו את הכלל. Report-only לבדו אינו חוסם דבר.

X-Frame-Options XFO

מונע מאתרים אחרים להציג את הדפים שלך בתוך מסגרת (frame) כדי להטעות מבקרים ללחוץ (clickjacking). כלל frame-ancestors ב-CSP עושה את אותה פעולה ונספר כאן.

X-Frame-Options: DENY

השתמש ב-SAMEORIGIN אם האתר שלך מציג דפים שלו בתוך מסגרת.

X-Content-Type-Options XCTO

מונע מהדפדפן לנחש סוגי קבצים, כך שקובץ שהועלה לא יוכל לפעול כסקריפט.

X-Content-Type-Options: nosniff

nosniff הוא הערך התקף היחיד.

Referrer-Policy RP

שולט בכמות כתובת הדף שלך שנשלחת לאתרים אחרים כאשר מבקרים לוחצים על קישור או כאשר הדף טוען משאבים חיצוניים.

Referrer-Policy: strict-origin-when-cross-origin

יש להימנע מ-unsafe-url, ששולח כתובות מלאות, כולל מחרוזות חיפוש, לכל אתר.

Permissions-Policy PP

מכבה תכונות דפדפן שהאתר שלך אינו משתמש בהן, כמו מצלמה, מיקרופון או מיקום, כך שקוד מוזרק או הטמעות לא יוכלו לבקש אותן.

Permissions-Policy: camera=(), microphone=(), geolocation=()

אל תכלול תכונה שהאתר באמת משתמש בה, או אפשר אותה עבור המקור שלך עם (self).

גילוי תוכנה מידע

הבודק גם מציין כותרת X-Powered-By, או כותרת Server עם מספר גרסה כמו nginx/1.18.0. אלו אינם פגיעויות בפני עצמן, אך הם מקלים לזהות תוכנה לא מעודכנת. הם אינם נחשבים לאחת מהשש.

רוב השרתים והמסגרות מאפשרים להסיר אותם, לדוגמה server_tokens off ב-nginx.