Проверка заголовков безопасности и редиректов
Введите адрес — увидите ответ сервера, набор защитных заголовков и весь путь редиректов до конечной страницы.
- Бесплатно
- Без регистрации
- Проверка на нашем сервере — ничего не сохраняем
Что закрывает каждый заголовок
HSTS заставляет браузер ходить на ваш домен только защищённым соединением, даже если человек набрал адрес без него. Это убирает тот короткий незащищённый первый запрос, в который удобно вмешаться в чужом Wi-Fi. CSP перечисляет, откуда странице разрешено подгружать скрипты и стили, и именно он спасает, когда на сайт пролезет чужой код: браузер просто откажется его выполнять.
X-Frame-Options запрещает встраивать вашу страницу в чужой фрейм. Без него мошенник кладёт прозрачный слой поверх вашего интерфейса, и человек нажимает совсем не то, что видит. X-Content-Type-Options убирает угадывание типа файла: браузер перестаёт «догадываться», что загруженная картинка на самом деле скрипт. Referrer-Policy управляет тем, сколько из вашего адреса уедет на чужой сайт при переходе — а в адресе бывает и внутренний путь, и параметры, которые посторонним видеть не стоит.
Читать дальше
Цепочка редиректов — про скорость. Каждый переход это отдельный запрос: браузер получает ответ «ищи по другому адресу» и начинает сначала, с новым соединением и новым ожиданием. Классическая цепочка нарастает сама: сперва с незащищённого адреса на защищённый, дальше с www на без www, потом со старой структуры адресов на новую. Три перехода там, где должен быть один, — это задержка на каждом входе из поиска и рекламы, а ещё размытие веса ссылок. Правило простое: любой старый адрес должен вести на конечный за один шаг.
Чего эта проверка не делает. Она смотрит ответ сервера и ничего не знает о том, что внутри страницы: сам факт наличия CSP не означает, что политика написана осмысленно, а не разрешает вообще всё. Она не сканирует код на уязвимости, не проверяет права доступа и не заменяет аудит безопасности. Это градусник, а не диагноз.
Частые вопросы
С какого заголовка начинать, если их нет ни одного?
С тех, что почти не ломают сайт: X-Content-Type-Options, X-Frame-Options и Referrer-Policy включаются одной строкой и обычно проходят незаметно. CSP оставьте напоследок и включайте сперва в режиме отчётов.
Чем опасен лишний редирект?
Каждый переход — это ещё один запрос к серверу с ожиданием ответа, и платит за него каждый посетитель, особенно с мобильного интернета. Плюс часть веса ссылок теряется по дороге. Цепочку собирают в один шаг прямо в правилах сервера.
Почему CSP ломает сайт после включения?
Потому что он запрещает всё, что вы явно не разрешили, а на живом сайте обычно есть сторонние скрипты аналитики, виджеты и встроенные видео. Поэтому политику сперва включают в режиме отчётов, собирают список того, что реально грузится, и лишь потом переходят к блокировке.
Заголовки на месте — сайт защищён?
Нет. Они закрывают конкретные классы атак в браузере и ничего не делают со слабым паролем администратора, устаревшим модулем или дырой в коде формы. Это один слой защиты из нескольких.
Ещё инструменты
Инструмент показал проблему, а чинить некому?
Мы делаем сайты, магазины и поддержку — от адреса домена до почты, которая не попадает в спам.
Нажимая кнопку, вы соглашаетесь с политикой конфиденциальности
Харьков · Киев
