formexposed
Començar

Capçaleres de seguretat

Fins a quin punt protegeix el seu lloc el que escriuen els visitants?

Una nota d'A+ a F per a les capçaleres HTTP de la pàgina inicial: HTTPS i HSTS, Content Security Policy, protecció contra la inclusió en marcs, galetes i allò que revela el servidor. Gratuït, sense compte i amb dues peticions.

Carreguem dues vegades la seva pàgina inicial (https i http), res més. No comprovem els dominis que han demanat l'exclusió.

Què comprovem

Inici: 100 punts. La protecció absent resta punts i la protecció addicional n'afegeix uns quants. La nota depèn dels punts: A+ a partir de 100 (amb HTTPS, HSTS i una CSP estricta), A a partir de 90, B a partir de 75, C a partir de 60, D a partir de 45 i F per sota.

  • HTTPS: la pàgina i les dades del formulari viatgen xifrades (-40 si no n'hi ha).
  • HSTS: els navegadors no tornen mai a l'http sense xifrar, ni tan sols en escriure una adreça (-20 si no n'hi ha, -10 si és inferior a 6 mesos, +5 amb preload).
  • Content Security Policy: només s'executen els scripts autoritzats - un script injectat no pot llegir el formulari (-25 si no n'hi ha, -15 si és report-only, -10 amb unsafe-inline/eval).
  • Inclusió en marcs: cap pàgina externa no pot mostrar la seva dins d'un marc i capturar clics (-20 sense X-Frame-Options o frame-ancestors).
  • nosniff: el navegador no endevina els tipus de fitxer (-5 si no n'hi ha).
  • Referrer-Policy: les adreces amb paràmetres de formulari no es filtren a altres llocs (-5 si no és segura).
  • Galetes: Secure, HttpOnly i SameSite (fins a -20).
  • Server i X-Powered-By sense versions - els atacants busquen precisament aquestes versions (-5).

Semblant a Mozilla HTTP Observatory i securityheaders.com; la nostra ponderació prioritza allò que protegeix les dades dels formularis. Una bona nota no significa que el formulari estigui protegit - per a això hi ha la comprovació del formulari.