安全头检测工具

Strict-Transport-Security HSTS

告知浏览器始终为您的网站使用 https，这样在不受信任的网络中，连接就不会被悄悄降级为 http。

Strict-Transport-Security: max-age=31536000; includeSubDomains

六个月（15552000 秒）是 Gmork 认为安全的最短时间。只有在所有子域名都支持 https 时，才添加 includeSubDomains。

Content-Security-Policy CSP

列出脚本、样式、图片和框架可以从哪些地方加载。它可以削弱指向攻击者域名的注入脚本（如盗卡脚本）的危害。

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

先使用 Content-Security-Policy-Report-Only 查看哪些内容会受影响，然后再正式启用。仅使用 Report-Only 并不会阻止任何内容。

X-Frame-Options XFO

防止其他网站通过框架嵌入您的页面，从而诱导访问者点击（点击劫持）。CSP 的 frame-ancestors 规则也有同样作用，并在此计入。

X-Frame-Options: DENY

如果您的网站自身会嵌入页面，请使用 SAMEORIGIN。

X-Content-Type-Options XCTO

阻止浏览器猜测文件类型，这样上传的文件就无法作为脚本运行。

X-Content-Type-Options: nosniff

nosniff 是唯一有效的值。

Referrer-Policy RP

控制当访问者跳转到其他网站或页面加载外部资源时，页面地址会向其他网站透露多少信息。

Referrer-Policy: strict-origin-when-cross-origin

避免使用 unsafe-url，因为它会将完整地址（包括查询字符串）发送到每个网站。

Permissions-Policy PP

关闭您的网站未使用的浏览器功能，如摄像头、麦克风或定位，这样注入代码或嵌入内容就无法请求这些权限。

Permissions-Policy: camera=(), microphone=(), geolocation=()

如网站确实需要某项功能，请不要移除，或仅允许自身来源（self）使用。

软件披露 信息

检测工具还会记录 X-Powered-By 头，或带有版本号（如 nginx/1.18.0）的 Server 头。它们本身不是漏洞，但会让过时的软件容易被发现。它们不会计入六项之内。

大多数服务器和框架都可以移除这些信息，例如 nginx 中的 server_tokens off。