Lookup

Varnostne glave

Oceni HTTP varnostne glave spletne strani z oceno od A+ do F: HSTS, CSP, X-Frame-Options, Referrer-Policy in druge.

O tem orodju

Orodje naloži podano stran (s sledenjem preusmeritvam) in oceni HTTP glave, ki ščitijo obiskovalce: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy in Cross-Origin-Opener-Policy. Za vsako glavo pojasni, kaj manjka in kako to popraviti. Opozori tudi na glave, ki po nepotrebnem razkrivajo različico strežnika.

Razlaga pojmov

HSTS
Glava Strict-Transport-Security brskalniku pove, naj se s spletnim mestom povezuje samo prek HTTPS, tudi če uporabnik vpiše naslov s http.
CSP
Content-Security-Policy določa, od kod sme stran nalagati skripte, sloge in slike. To je glavna obramba pred napadi XSS.
X-Frame-Options in frame-ancestors
Prepovedujeta vdelavo strani v okvir (iframe) na tujem spletnem mestu. Preprečujeta clickjacking - podtaknjene klike prek nevidne plasti.
X-Content-Type-Options
Vrednost nosniff brskalniku prepove ugibanje vrste datoteke. Brez nje lahko brskalnik npr. besedilno datoteko zažene kot skripto.
Referrer-Policy
Določa, koliko naslova strani brskalnik razkrije spletnemu mestu, na katerega uporabnik preide prek povezave. Priporočena vrednost je strict-origin-when-cross-origin.
Permissions-Policy
Izklopi funkcije brskalnika, ki jih spletno mesto ne potrebuje, npr. kamero, mikrofon ali lokacijo, tudi za vdelane skripte tretjih oseb.
Cross-Origin-Opener-Policy
Loči okno strani od oken, ki so jih odprla tuja spletna mesta. Ščiti pred napadi prek window.opener in uhajanjem podatkov med okni.

Kako se uporablja

  1. 1Vnesi naslov spletne strani.
  2. 2Klikni Oceni stran.
  3. 3Oglej si skupno oceno in rezultat.
  4. 4Preglej glave, označene s križcem ali polkrogom.
  5. 5Dodaj glave v nastavitve strežnika in ponovi test.

Specifikacije in omejitve

Ocenjuje se odgovor zadnje strani v verigi preusmeritev. Točke: HSTS 25, CSP 25, zaščita pred okvirji 15, nosniff 10, Referrer-Policy 10, Permissions-Policy 10, COOP 5. Delna nastavitev prinese polovico točk, vsaka razkrita različica programske opreme odvzame 5 točk. Ocene: A+ od 95, A od 85, B od 70, C od 55, D od 40, E od 25, sicer F.