Анализатор заголовков безопасности HTTP
Вставьте блок необработанных HTTP-заголовков (например, скопированных из вкладки «Сеть» вашего браузера), чтобы проверить наличие основных заголовков безопасности и понять роль каждого из них. Анализ выполняется полностью в вашем браузере.
Как это работает
Многие веб-атаки (кликджекинг, XSS, понижение HTTP-соединения) можно существенно ослабить несколькими правильно настроенными заголовками HTTP-ответа. Вставьте блок заголовков, возвращённый вашим сервером (его видно на вкладке «Сеть» инструментов разработчика любого браузера, в запросе основного документа), чтобы проверить, какие из них присутствуют, каких не хватает и от чего конкретно защищает каждый.
Где найти HTTP-заголовки моего сайта?
Откройте инструменты разработчика в браузере (F12), перейдите на вкладку «Сеть», перезагрузите страницу, нажмите на запрос основного HTML-документа и скопируйте раздел «Заголовки ответа» (Response Headers). Вставьте этот текст как есть в поле выше.
Нужно ли включать все эти заголовки на всех сайтах?
Большинству публичных сайтов стоит включить Strict-Transport-Security, X-Content-Type-Options и подходящую Content-Security-Policy. Referrer-Policy и Permissions-Policy больше зависят от контекста (конфиденциальные данные в URL, необходимость доступа к камере или микрофону). X-XSS-Protection устарел, и его отсутствие нормально для современного, правильно настроенного сайта.
Конфиденциальность: анализ выполняется полностью в вашем браузере — вставленные заголовки никогда не отправляются на сервер.