Verificador de cabeçalhos de segurança

Strict-Transport-Security HSTS

Informa aos navegadores para sempre usar https em seu site, assim a conexão não pode ser rebaixada silenciosamente para http em uma rede não confiável.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Seis meses (15552000 segundos) é o mínimo que a Gmork considera forte. Só adicione includeSubDomains se todos os subdomínios tiverem https.

Content-Security-Policy CSP

Lista de onde scripts, estilos, imagens e frames podem ser carregados. Isso dificulta a ação de scripts injetados, como coletores de cartão, que apontam para o domínio de um atacante.

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Comece com Content-Security-Policy-Report-Only para ver o que deixaria de funcionar, depois aplique a política. Apenas report-only não bloqueia nada.

X-Frame-Options XFO

Impede que outros sites enquadrem suas páginas para enganar visitantes a clicarem (clickjacking). Uma regra frame-ancestors no CSP faz o mesmo trabalho e é considerada aqui.

X-Frame-Options: DENY

Use SAMEORIGIN se o seu próprio site enquadra suas páginas.

X-Content-Type-Options XCTO

Impede que o navegador adivinhe tipos de arquivos, assim um arquivo enviado não pode ser executado como script.

X-Content-Type-Options: nosniff

nosniff é o único valor válido.

Referrer-Policy RP

Controla quanto do endereço da sua página é enviado para outros sites quando visitantes clicam em links ou quando a página carrega recursos externos.

Referrer-Policy: strict-origin-when-cross-origin

Evite unsafe-url, que envia endereços completos, incluindo parâmetros, para todos os sites.

Permissions-Policy PP

Desativa recursos do navegador que seu site não utiliza, como câmera, microfone ou localização, para que códigos injetados ou embeds não possam solicitá-los.

Permissions-Policy: camera=(), microphone=(), geolocation=()

Deixe de fora qualquer recurso que o site realmente utilize, ou permita apenas para sua própria origem com (self).

Divulgação de software informação

O verificador também observa um cabeçalho X-Powered-By, ou um cabeçalho Server com número de versão como nginx/1.18.0. Eles não são vulnerabilidades por si só, mas facilitam identificar softwares desatualizados. Eles nunca contam para os seis.

A maioria dos servidores e frameworks pode removê-los, por exemplo server_tokens off no nginx.