Перевірка заголовків безпеки й редиректів
Введіть адресу — побачите відповідь сервера, набір захисних заголовків і весь шлях редиректів до кінцевої сторінки.
- Безкоштовно
- Без реєстрації
- Перевірка на нашому сервері — нічого не зберігаємо
Що закриває кожен заголовок
HSTS змушує браузер ходити на ваш домен тільки захищеним з’єднанням, навіть якщо людина набрала адресу без нього. Це прибирає той короткий незахищений перший запит, у який зручно втрутитися в чужому Wi-Fi. CSP перелічує, звідки сторінці дозволено підвантажувати скрипти й стилі, і саме він рятує, коли на сайт пролізе чужий код: браузер просто відмовиться його виконувати.
X-Frame-Options забороняє вбудовувати вашу сторінку в чужий фрейм. Без нього шахрай кладе прозорий шар поверх вашого інтерфейсу, і людина натискає зовсім не те, що бачить. X-Content-Type-Options прибирає вгадування типу файла: браузер перестає «здогадуватись», що завантажена картинка насправді скрипт. Referrer-Policy керує тим, скільки з вашої адреси поїде на чужий сайт при переході — а в адресі буває і внутрішній шлях, і параметри, які стороннім бачити не варто.
Читати далі
Ланцюжок редиректів — про швидкість. Кожен перехід це окремий запит: браузер отримує відповідь «шукай за іншою адресою» і починає спочатку, з новим з’єднанням і новим очікуванням. Класичний ланцюжок наростає сам: спершу з незахищеної адреси на захищену, далі з www на без www, потім зі старої структури адрес на нову. Три переходи там, де мав бути один, — це затримка на кожному вході з пошуку й реклами, а ще розмиття ваги посилань. Правило просте: будь-яка стара адреса має вести на кінцеву за один крок.
Чого ця перевірка не робить. Вона дивиться відповідь сервера й нічого не знає про те, що всередині сторінки: сам факт наявності CSP не означає, що політика написана осмислено, а не дозволяє геть усе. Вона не сканує код на вразливості, не перевіряє права доступу й не заміняє аудит безпеки. Це градусник, а не діагноз.
Часті питання
З якого заголовка починати, якщо їх немає жодного?
З тих, що майже не ламають сайт: X-Content-Type-Options, X-Frame-Options і Referrer-Policy включаються одним рядком і зазвичай проходять непомітно. CSP лишайте наостанок і вмикайте спершу в режимі звітів.
Чим небезпечний зайвий редирект?
Кожен переход — це ще один запит до сервера з очікуванням відповіді, і платить за нього кожен відвідувач, особливо з мобільного інтернету. Плюс частина ваги посилань губиться дорогою. Ланцюжок збирають в один крок прямо в правилах сервера.
Чому CSP ламає сайт після ввімкнення?
Бо він забороняє все, чого ви явно не дозволили, а на живому сайті зазвичай є сторонні скрипти аналітики, віджети й вбудовані відео. Тому політику спершу вмикають у режимі звітів, збирають список того, що реально вантажиться, і аж потім переходять до блокування.
Заголовки на місці — сайт захищений?
Ні. Вони закривають конкретні класи атак у браузері й нічого не роблять зі слабким паролем адміністратора, застарілим модулем чи діркою в коді форми. Це один шар захисту з кількох.
Ще інструменти
Інструмент показав проблему, а полагодити нема кому?
Ми робимо сайти, магазини й підтримку — від адреси домену до пошти, яка не потрапляє у спам.
Натискаючи кнопку, ви погоджуєтесь з політикою приватності
Харків · Київ
