formexposed
Започнете

Заглавки за сигурност

Колко добре сайтът ви защитава това, което въвеждат посетителите?

Оценка от A+ до F за HTTP заглавките на началната ви страница: HTTPS и HSTS, Content Security Policy, защита от вграждане във фрейм, бисквитки и какво издава сървърът. Безплатно, без акаунт, две заявки.

Зареждаме началната ви страница два пъти (https и http), нищо друго. Домейните, които са се отказали, не се проверяват.

Какво проверяваме

Начало: 100 точки. Липсващата защита отнема точки, допълнителната добавя няколко. Оценката следва точките: A+ от 100 (с HTTPS, HSTS и строга CSP), A от 90, B от 75, C от 60, D от 45, под това F.

  • HTTPS: страницата и въведеното във формите се предават криптирано (-40 без него).
  • HSTS: браузърите никога не се връщат към некриптиран http, дори при ръчно въведен адрес (-20 без него, -10 под 6 месеца, +5 с preload).
  • Content Security Policy: изпълняват се само одобрени скриптове - инжектиран скрипт не може да чете формата (-25 без нея, -15 само report-only, -10 с unsafe-inline/eval).
  • Вграждане във фрейм: никоя чужда страница не може да покаже вашата във фрейм и да прихваща кликове (-20 без X-Frame-Options или frame-ancestors).
  • nosniff: браузърът не отгатва типовете файлове (-5 без него).
  • Referrer-Policy: адресите с параметри от формите не изтичат към други сайтове (-5, ако не е безопасна).
  • Бисквитки: Secure, HttpOnly и SameSite (до -20).
  • Server и X-Powered-By без версии - нападателите търсят точно тях (-5).

Подобно на Mozilla HTTP Observatory и securityheaders.com; нашето претегляне поставя на първо място това, което защитава въведеното във формите. Добрата оценка не означава защитена форма - за това е проверката на формата.