Lookup

Bezpečnostné hlavičky

Ohodnoťte bezpečnostné HTTP hlavičky webu známkou A+ až F: HSTS, CSP, X-Frame-Options, Referrer-Policy a ďalšie.

O tomto nástroji

Nástroj načíta zadanú stránku (vrátane presmerovaní) a vyhodnotí HTTP hlavičky, ktoré chránia návštevníkov: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy a Cross-Origin-Opener-Policy. Pri každej hlavičke vysvetlí, čo chýba a ako to opraviť. Upozorní aj na hlavičky, ktoré zbytočne prezrádzajú verziu servera.

Vysvetlenie pojmov

HSTS
Hlavička Strict-Transport-Security hovorí prehliadaču, aby sa na web pripájal len cez HTTPS, aj keď používateľ napíše adresu s http.
CSP
Content-Security-Policy určuje, odkiaľ smie stránka načítať skripty, štýly a obrázky. Je to hlavná obrana proti útokom XSS.
X-Frame-Options a frame-ancestors
Zakazujú vložiť stránku do rámu (iframe) na cudzom webe. Bránia clickjackingu - podvrhnutiu kliknutia cez neviditeľnú vrstvu.
X-Content-Type-Options
Hodnota nosniff zakáže prehliadaču hádať typ súboru. Bez nej môže prehliadač napríklad textový súbor spustiť ako skript.
Referrer-Policy
Určuje, koľko z adresy stránky prehliadač prezradí webu, na ktorý používateľ prejde odkazom. Odporúčaná hodnota je strict-origin-when-cross-origin.
Permissions-Policy
Vypne funkcie prehliadača, ktoré web nepotrebuje, napríklad kameru, mikrofón alebo polohu, a to aj pre vložené cudzie skripty.
Cross-Origin-Opener-Policy
Oddelí okno stránky od okien otvorených z cudzích webov. Chráni pred útokmi cez window.opener a únikom dát medzi oknami.

Ako používať

  1. 1Zadajte adresu webu.
  2. 2Kliknite na Ohodnotiť web.
  3. 3Pozrite sa na celkovú známku a skóre.
  4. 4Prejdite hlavičky označené krížikom alebo polkruhom.
  5. 5Doplňte hlavičky do konfigurácie servera a test zopakujte.

Špecifikácie a obmedzenia

Hodnotí sa odpoveď poslednej stránky v reťazci presmerovaní. Body: HSTS 25, CSP 25, ochrana proti rámcom 15, nosniff 10, Referrer-Policy 10, Permissions-Policy 10, COOP 5. Čiastočné nastavenie získa polovicu bodov, každá prezradená verzia softvéru uberá 5 bodov. Známky: A+ od 95, A od 85, B od 70, C od 55, D od 40, E od 25, inak F.