免費工具

安全標頭檢查工具

輸入網站，即可查看首頁是否有六項建議的 HTTP 安全標頭、哪些值較弱，以及是否洩漏軟體版本。免費，無需註冊。

對首頁發出一次正常請求
缺少標頭僅為建議，並非入侵跡象

本工具檢查的六個標頭

每一項都是伺服器設定中的一行。以下說明其作用及建議起始值。

Strict-Transport-Security HSTS

告訴瀏覽器您的網站應始終使用 https，這樣連線就不會在不受信任的網路上被悄悄降級為 http。

Strict-Transport-Security: max-age=31536000; includeSubDomains

六個月（15552000 秒）是 Gmork 認為安全的最低期限。只有在每個子網域都啟用 https 時，才加入 includeSubDomains。

Content-Security-Policy CSP

列出腳本、樣式、圖片和框架可以從哪些來源載入。這可以減緩指向攻擊者網域的注入腳本，例如竊取信用卡資料的程式。

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

請先使用 Content-Security-Policy-Report-Only 觀察哪些功能會受影響，然後再正式啟用。僅使用 Report-Only 不會阻擋任何內容。

X-Frame-Options XFO

防止其他網站將您的頁面嵌入框架中，誘使訪客點擊（點擊劫持）。CSP 的 frame-ancestors 規則也有相同作用，並在此計算。

X-Frame-Options: DENY

如果您的網站本身會嵌入自己的頁面，請使用 SAMEORIGIN。

X-Content-Type-Options XCTO

防止瀏覽器猜測檔案類型，因此上傳的檔案無法被當作腳本執行。

X-Content-Type-Options: nosniff

nosniff 是唯一有效的值。

Referrer-Policy RP

控制當訪客點擊離開或頁面載入外部資源時，您的頁面網址有多少資訊會傳送到其他網站。

Referrer-Policy: strict-origin-when-cross-origin

請避免使用 unsafe-url，因為它會將完整網址（包括查詢字串）傳送到每個網站。

Permissions-Policy PP

關閉網站未使用的瀏覽器功能，例如相機、麥克風或位置，這樣注入的程式碼或嵌入內容就無法要求這些權限。

Permissions-Policy: camera=(), microphone=(), geolocation=()

請勿移除網站實際需要的功能，或僅允許自己的來源（self）使用。

軟體揭露資訊

檢查工具也會記錄 X-Powered-By 標頭，或帶有版本號（如 nginx/1.18.0）的 Server 標頭。它們本身不是漏洞，但會讓過時的軟體容易被發現。這些標頭不會計入六項安全標頭之內。

大多數伺服器和框架都可以移除這些標頭，例如 nginx 可設為 server_tokens off。

想了解更詳細的說明嗎？請閱讀安全標頭說明。

關於安全標頭的常見問題

檢查工具會測試哪些安全標頭？

Strict-Transport-Security (HSTS)、Content-Security-Policy、X-Frame-Options（或 CSP 的 frame-ancestors 規則）、X-Content-Type-Options、Referrer-Policy 和 Permissions-Policy。當 Server 或 X-Powered-By 標頭揭露軟體版本時，檢查工具也會記錄。

缺少安全標頭是否代表我的網站被駭了？

不會。安全標頭是加強防護的措施，可以讓某些攻擊變得更困難或減少損害。缺少標頭只是改善建議，並非網站被入侵的證據。

檢查的是哪一個頁面？

是您輸入的首頁，經過轉址後檢查。不同頁面的標頭可能不同，如果重要頁面由不同系統提供，請分別檢查。