GmorkStrumento gratuito
Inserisca un sito per vedere quali dei sei header di sicurezza HTTP consigliati invia la homepage, quali valori sono deboli e se rivela versioni di software. Gratuito, senza registrazione.
Ognuno è una sola riga di configurazione del server. Ecco a cosa serve e un valore di partenza sensato.
Indica ai browser di usare sempre https per il Suo sito, così la connessione non può essere silenziosamente degradata a http su una rete non affidabile.
Strict-Transport-Security: max-age=31536000; includeSubDomainsSei mesi (15552000 secondi) è il minimo che Gmork considera sicuro. Aggiunga includeSubDomains solo se ogni sottodominio ha https.
Elenca da dove possono essere caricati script, stili, immagini e frame. Limita gli script iniettati, come i card skimmer, che puntano al dominio di un attaccante.
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'Inizi con Content-Security-Policy-Report-Only per vedere cosa si romperebbe, poi applichi la regola. Solo report-only non blocca nulla.
Impedisce ad altri siti di incorniciare le Sue pagine per indurre i visitatori a cliccare (clickjacking). Una regola CSP frame-ancestors svolge la stessa funzione e viene considerata qui.
X-Frame-Options: DENYUsi SAMEORIGIN se il Suo sito incornicia le proprie pagine.
Impedisce al browser di indovinare i tipi di file, così un file caricato non può essere eseguito come script.
X-Content-Type-Options: nosniffnosniff è l'unico valore valido.
Controlla quanta parte dell'indirizzo della Sua pagina viene inviata ad altri siti quando i visitatori cliccano via o la pagina carica risorse esterne.
Referrer-Policy: strict-origin-when-cross-originEviti unsafe-url, che invia l'indirizzo completo, inclusi i parametri, a ogni sito.
Disattiva le funzionalità del browser che il Suo sito non utilizza, come fotocamera, microfono o posizione, così codice iniettato o incorporamenti non possono richiederle.
Permissions-Policy: camera=(), microphone=(), geolocation=()Non includa le funzionalità che il sito utilizza davvero, oppure le consenta solo per il proprio dominio con (self).
Il controllo segnala anche un'intestazione X-Powered-By, o un'intestazione Server con un numero di versione come nginx/1.18.0. Non sono vulnerabilità di per sé, ma rendono facile individuare software obsoleti. Non vengono mai conteggiate tra le sei.
La maggior parte dei server e framework può rimuoverle, ad esempio server_tokens off in nginx.
Vuole la versione più lunga? Legga Spiegazione delle intestazioni di sicurezza.
Strict-Transport-Security (HSTS), Content-Security-Policy, X-Frame-Options (o la regola CSP frame-ancestors), X-Content-Type-Options, Referrer-Policy e Permissions-Policy. Segnala anche quando l'intestazione Server o X-Powered-By rivela versioni del software.
No. Le intestazioni di sicurezza rafforzano la protezione: rendono alcuni attacchi più difficili o limitano i danni. Un'intestazione mancante è un consiglio per migliorare, non una prova di compromissione.
La homepage che inserisce, dopo aver seguito i reindirizzamenti. Le intestazioni possono variare tra le pagine, quindi controlli separatamente le pagine importanti se sono servite da sistemi diversi.
Sì, senza account. È soggetto a limiti di frequenza per permettere a tutti di usarlo, e ogni sito aggiunto a Gmork riceve lo stesso controllo delle intestazioni a ogni scansione.
Preoccupato per altro oltre alle intestazioni? Provi il controllo gratuito del sito compromesso.