ما مدى حماية موقعكم لما يكتبه الزوار؟

ما نفحصه

البداية: 100 نقطة. تخصم الحماية المفقودة نقاطا، وتضيف الحماية الإضافية بضع نقاط. يتبع التقييم النقاط: A+ بدءا من 100 (مع HTTPS وHSTS وCSP صارمة)، وA من 90، وB من 75، وC من 60، وD من 45، وأقل من ذلك F.

• HTTPS: تُنقل الصفحة ومدخلات النموذج مشفرة (-40 عند غيابه).
• HSTS: لا تعود المتصفحات أبدا إلى http غير المشفر، حتى عند كتابة العنوان (-20 عند غيابه، -10 إذا كانت المدة أقل من 6 أشهر، +5 مع preload).
• Content Security Policy: لا تعمل إلا البرامج النصية المصرح بها - ولا يستطيع برنامج نصي محقون قراءة النموذج (-25 عند غيابها، -15 عند الاكتفاء بالتقارير، -10 مع unsafe-inline/eval).
• الإطارات: لا تستطيع صفحة خارجية عرض صفحتكم داخل إطار والتقاط النقرات (-20 دون X-Frame-Options أو frame-ancestors).
• nosniff: لا يخمّن المتصفح أنواع الملفات (-5 عند غيابه).
• Referrer-Policy: لا تتسرب العناوين التي تتضمن معلمات النموذج إلى مواقع أخرى (-5 إذا كانت غير آمنة).
• ملفات تعريف الارتباط: Secure وHttpOnly وSameSite (حتى -20).
• Server وX-Powered-By دون إصدارات - يبحث المهاجمون تحديدا عن تلك الإصدارات (-5).

مشابه لـMozilla HTTP Observatory وsecurityheaders.com؛ تعطي أوزاننا الأولوية لما يحمي مدخلات النماذج. لا يعني التقييم الجيد أن النموذج محمي - لهذا وُجد فحص النموذج.