HTTP 安全响应头分析器

粘贴一段原始 HTTP 响应头(例如从浏览器的「网络」标签页复制),即可检查主要安全响应头是否存在,并了解每一项的作用。分析完全在您的浏览器中完成。

示例:
每个响应头占一行,格式为「Header-Name: value」(与开发者工具「网络」标签页中的一致)。

工作原理

只需配置好几个 HTTP 响应头,就能大幅缓解许多网络攻击(点击劫持、XSS、HTTP 降级)。请粘贴您的服务器返回的响应头(在任意浏览器开发者工具的「网络」标签页中,选择主文档请求即可看到),检查哪些已存在、哪些缺失,以及每一项具体起到什么保护作用。

在哪里可以找到我网站的 HTTP 响应头?

打开浏览器的开发者工具(F12),进入「网络」标签页并刷新页面,点击主 HTML 文档的请求,然后复制「响应标头」(Response Headers)部分。将该文本原样粘贴到上方输入框即可。

是否所有网站都需要启用这些响应头?

大多数公开网站都适合启用 Strict-Transport-Security、X-Content-Type-Options 以及配置合理的 Content-Security-Policy。Referrer-Policy 和 Permissions-Policy 则更取决于具体场景(网址中是否含敏感数据、是否需要访问摄像头/麦克风)。X-XSS-Protection 已经过时,在配置良好的现代网站上缺少它是正常的。

隐私说明:分析完全在您的浏览器中进行,粘贴的响应头不会被发送到任何服务器。