Turvapäiste kontroll
Laadime avaliku URL-i vastuse päised (ilma sisuta) ja kontrollime kaitsvaid päiseid ükshaaval.
Mõned kõige tõhusamad veebikaitsed on lihtsad HTTP-vastuse päised, mis seatakse serveris üks kord. See kontroll laadib avaliku URL-i vastuse päised, järgides ümbersuunamisi kuni lõpliku leheni, ja kontrollib neid ükshaaval:
- Strict-Transport-Security paneb brauserid kasutama ainult HTTPS-i.
- Content-Security-Policy piirab, kust võib skripte ja muid ressursse laadida, ning direktiiviga
frame-ancestors, kes tohib lehte raami sisse panna. - X-Content-Type-Options: nosniff keelab brauseritel failitüüpe ära arvata.
- Referrer-Policy määrab, kui suur osa URL-ist teistele saitidele edastatakse.
- Permissions-Policy lülitab välja brauseri funktsioonid, mida sait ei kasuta.
- Cross-Origin-Opener-Policy isoleerib lehe akendest, mille see avab.
Lisaks märgitakse päistes Server või X-Powered-By avaldatud tarkvara versioonid. Tulemus on kontrollnimekiri, mitte turvahinnang: päised on üks kiht paljude seas.
Korduma kippuvad küsimused
Miks on alla kuue kuu HSTS märgitud nõrgaks?
Brauserid mäletavad HTTPS-i nõuet ainult max-age sekundi jooksul. Tavaliselt soovitatakse kuus kuud kuni aasta, ja see on nõutav ka brauserite eellaadimisloenditesse pääsemiseks.
Kas X-Frame-Options on veel vajalik?
Tänapäevastes brauserites asendab selle CSP direktiiv frame-ancestors. Siin loetakse raamikaitseks kumbki.
Kas see tööriist saadab midagi peale tavalise päringu?
Ei. See saadab iga ümbersuunamise sammu kohta ühe tavalise GET-päringu, loeb ainult päised ja sulgeb ühenduse.