Lookup

Безбедносна заглавља

Оцењује HTTP безбедносна заглавља сајта оценом од A+ до F: HSTS, CSP, X-Frame-Options, Referrer-Policy и друга.

О овој алатци

Алат учитава задату страницу (пратећи преусмеравања) и оцењује HTTP заглавља која штите посетиоце: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и Cross-Origin-Opener-Policy. За свако заглавље објашњава шта недостаје и како то исправити. Упозорава и на заглавља која непотребно откривају верзију сервера.

Објашњење појмова

HSTS
Заглавље Strict-Transport-Security говори прегледачу да се на сајт повезује само преко HTTPS-а, чак и ако корисник укуца адресу са http.
CSP
Content-Security-Policy одређује одакле страница сме да учитава скрипте, стилове и слике. То је главна одбрана од XSS напада.
X-Frame-Options и frame-ancestors
Забрањују уградњу странице у оквир (iframe) на туђем сајту. Спречавају clickjacking - подметнуте кликове преко невидљивог слоја.
X-Content-Type-Options
Вредност nosniff забрањује прегледачу да погађа врсту датотеке. Без ње прегледач може на пример да покрене текстуалну датотеку као скрипту.
Referrer-Policy
Одређује колико од адресе странице прегледач открива сајту на који корисник прелази преко линка. Препоручена вредност је strict-origin-when-cross-origin.
Permissions-Policy
Искључује функције прегледача које сајту нису потребне, нпр. камеру, микрофон или локацију, и за уграђене туђе скрипте.
Cross-Origin-Opener-Policy
Одваја прозор странице од прозора које су отворили туђи сајтови. Штити од напада преко window.opener и цурења података између прозора.

Како користити

  1. 1Унесите адресу сајта.
  2. 2Кликните Оцени сајт.
  3. 3Погледајте укупну оцену и резултат.
  4. 4Прегледајте заглавља означена крстићем или полукругом.
  5. 5Додајте заглавља у подешавања сервера и поновите тест.

Спецификације и ограничења

Оцењује се одговор последње странице у ланцу преусмеравања. Бодови: HSTS 25, CSP 25, заштита од оквира 15, nosniff 10, Referrer-Policy 10, Permissions-Policy 10, COOP 5. Делимично подешавање добија пола бодова, а свака откривена верзија софтвера одузима 5 бодова. Оцене: A+ од 95, A од 85, B од 70, C од 55, D од 40, E од 25, иначе F.