Bezpečnostní hlavičky

O tomto nástroji

Nástroj načte zadanou stránku (včetně přesměrování) a vyhodnotí HTTP hlavičky, které chrání návštěvníky: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy a Cross-Origin-Opener-Policy. U každé hlavičky vysvětlí, co chybí a jak to opravit. Upozorní i na hlavičky, které zbytečně prozrazují verzi serveru.

Vysvětlení pojmů

HSTS

Hlavička Strict-Transport-Security říká prohlížeči, ať se na web připojuje jen přes HTTPS, i když uživatel napíše adresu s http.

CSP

Content-Security-Policy určuje, odkud smí stránka načítat skripty, styly a obrázky. Je to hlavní obrana proti útokům XSS.

X-Frame-Options a frame-ancestors

Zakazují vložit stránku do rámu (iframe) na cizím webu. Brání clickjackingu - podvržení kliknutí přes neviditelnou vrstvu.

X-Content-Type-Options

Hodnota nosniff zakáže prohlížeči hádat typ souboru. Bez ní může prohlížeč například textový soubor spustit jako skript.

Referrer-Policy

Určuje, kolik z adresy stránky prohlížeč prozradí webu, na který uživatel přejde odkazem. Doporučená hodnota je strict-origin-when-cross-origin.

Permissions-Policy

Vypne funkce prohlížeče, které web nepotřebuje, třeba kameru, mikrofon nebo polohu, a to i pro vložené cizí skripty.

Cross-Origin-Opener-Policy

Oddělí okno stránky od oken otevřených z cizích webů. Chrání před útoky přes window.opener a únikem dat mezi okny.

Jak používat

1. 1Zadejte adresu webu.
2. 2Klikněte na Ohodnotit web.
3. 3Podívejte se na celkovou známku a skóre.
4. 4Projděte hlavičky označené křížkem nebo půlkruhem.
5. 5Doplňte hlavičky v konfiguraci serveru a test zopakujte.

Specifikace a omezení

Hodnotí se odpověď poslední stránky v řetězci přesměrování. Body: HSTS 25, CSP 25, ochrana proti rámcům 15, nosniff 10, Referrer-Policy 10, Permissions-Policy 10, COOP 5. Částečné nastavení získá polovinu bodů, každá prozrazená verze softwaru ubírá 5 bodů. Známky: A+ od 95, A od 85, B od 70, C od 55, D od 40, E od 25, jinak F.