Проверка HTTP-Заголовков

Максимум 25 баллов. Базовый балл за наличие (6 баллов), бонус за max-age ≥ 1 год (до 20 баллов), директива includeSubDomains (+3 балла) и директива preload (+2 балла). Отличная конфигурация с max-age ≥ 31536000, includeSubDomains и preload получает все 25 баллов.

Максимум 25 баллов. Базовый балл за наличие (12 баллов), бонус за директиву default-src (+4 балла), script-src (+3 балла) и использование nonce/hash (+6 баллов). Штрафы за unsafe-inline (-3 балла) и unsafe-eval (-2 балла). Отличная CSP со строгими политиками получает до 25 баллов.

Максимум 12 баллов. DENY получает 12 баллов, SAMEORIGIN 10 баллов. CSP frame-ancestors также распознаётся как современная альтернатива и получает 12 баллов. Если отсутствуют оба, 0 баллов.

Максимум 12 баллов. Корректная настройка с "nosniff" даёт 12 баллов. Отсутствие или неверная настройка даёт 0-5 баллов.

Максимум 13 баллов. Корректная настройка со стандартными значениями политики даёт 13 баллов. Предпочтительны более строгие политики (strict-origin, strict-origin-when-cross-origin, same-origin, no-referrer).

Максимум 13 баллов. Базовый балл за наличие (5 баллов), бонус за ограниченные функции (до 8 баллов). Больше ограничений указывает на лучшую конфигурацию безопасности.

Всегда внедряйте HSTS с подходящим max-age (минимум 31536000 секунд на год) и директивой includeSubDomains. Отсутствие HSTS делает сайты уязвимыми к атакам понижения протокола.

Внедряйте строгие политики CSP, ограничивающие загрузку ресурсов только доверенными источниками. Используйте default-src 'self' как базу и по возможности избегайте 'unsafe-inline' и 'unsafe-eval'. Слабые CSP с этими директивами дают минимальную защиту от XSS.

Используйте DENY, чтобы запретить любое встраивание в frame, или SAMEORIGIN, чтобы разрешить только same-origin. Либо используйте директиву Content-Security-Policy frame-ancestors (например, frame-ancestors 'none' или frame-ancestors 'self'), современную замену X-Frame-Options. CSP frame-ancestors даёт более тонкий контроль и предпочтительнее X-Frame-Options. Отсутствие X-Frame-Options или CSP frame-ancestors делает сайты уязвимыми к clickjacking.

Всегда устанавливайте nosniff, чтобы предотвратить атаки MIME-type sniffing. Это гарантирует, что браузеры уважают объявленные типы контента и не допускают атак с путаницей типов.

Удалите или минимизируйте заголовок Server, чтобы предотвратить раскрытие информации. Публикация ПО сервера и версии (например, Server: nginx/1.18.0) помогает атакующим находить уязвимости и планировать целевые атаки.

Удалите заголовок X-Powered-By, чтобы не раскрывать framework приложения. Публикация сведений о framework (PHP, Express и т. д.) помогает атакующим находить уязвимости, специфичные для framework. Удалите этот заголовок в production.

Проверьте пользовательские заголовки X-* на раскрытие информации. Они могут выдавать внутренние детали приложения, endpoint API или архитектуру системы. Удалите или очистите заголовки, раскрывающие конфиденциальные данные.

Внедрите подходящую Referrer-Policy для защиты конфиденциальности пользователей. Используйте strict-origin-when-cross-origin для баланса конфиденциальности и функциональности или no-referrer для максимальной конфиденциальности. Это предотвращает утечку чувствительных параметров URL на сторонние сайты.

Используйте подходящие директивы кэша: no-store для конфиденциального контента, public, max-age=3600 для статических ресурсов и private для пользовательского контента. Неверно настроенные заголовки Cache-Control могут вызвать проблемы безопасности (кэширование конфиденциального контента) или производительности.

Проверьте внедрение заголовков безопасности на соответствие рекомендациям OWASP, требованиям PCI-DSS и стандартам безопасности. Выявите отсутствующие заголовки, указывающие на потенциальные уязвимости, и оцените уровень безопасности для управления рисками.

Анализируйте заголовки кэширования (Cache-Control, ETag, Expires), чтобы оптимизировать доставку контента и снизить нагрузку на сервер. Найдите ошибки кэширования, влияющие на производительность, и оптимизируйте политики кэша для лучшего удобства пользователей.

Отладьте проблемы CORS, анализируя заголовки Access-Control-Allow-Origin и связанные директивы CORS. Найдите ошибки CORS, блокирующие доступ к API, и проверьте политики CORS на соответствие требованиям безопасности.

Проверьте идентификацию ПО сервера, проанализируйте пользовательские заголовки приложения и выявите уязвимости раскрытия информации. Проверьте конфигурацию заголовков сервера на соответствие лучшим практикам безопасности.

Поддерживает соединения HTTP (порт 80) и HTTPS (порт 443) с корректной обработкой TLS/SSL по RFC 8446, обеспечивая совместимость со всеми веб-серверами.

Устанавливает живые HTTP-соединения для получения актуальной информации о заголовках напрямую с целевых серверов.

Анализирует заголовки безопасности по рекомендациям OWASP Secure Headers Project и руководствам Mozilla, выявляет отсутствующие заголовки и даёт рекомендации по безопасности.

Организует заголовки в логические категории (безопасность, контент, кэширование, информация о сервере, CORS, пользовательские) для удобного анализа и понимания.

Позволяет экспортировать информацию о заголовках в JSON (RFC 8259), CSV и TXT для документации, анализа и интеграции с другими системами.

Все проверки заголовков выполняются в реальном времени без хранения данных, поэтому информация остаётся конфиденциальной и защищённой. Мы не сохраняем и не логируем доменные имена, URL, заголовки или результаты проверки.