formexposed
Začít

Bezpečnostní hlavičky

Jak dobře váš web chrání to, co návštěvníci zadávají?

Hodnocení od A+ do F pro hlavičky HTTP vaší úvodní stránky: HTTPS a HSTS, Content Security Policy, ochrana proti vkládání do rámců, cookies a co server prozrazuje. Zdarma, bez účtu, dva požadavky.

Vaši úvodní stránku načteme dvakrát (https a http), nic jiného. Domény, které se odhlásily, nekontrolujeme.

Co kontrolujeme

Začátek: 100 bodů. Chybějící ochrana stojí body, dodatečná ochrana několik přidá. Hodnocení se řídí body: A+ od 100 (s HTTPS, HSTS a přísnou CSP), A od 90, B od 75, C od 60, D od 45, pod tím F.

  • HTTPS: stránka i údaje z formuláře se přenášejí šifrovaně (bez něj -40).
  • HSTS: prohlížeče se nikdy nevrátí k nešifrovanému http, ani u ručně zadané adresy (bez něj -20, pod 6 měsíců -10, s preload +5).
  • Content Security Policy: spouštějí se jen schválené skripty – vložený skript nemůže číst formulář (bez ní -25, report-only -15, s unsafe-inline/eval -10).
  • Rámce: žádná cizí stránka nemůže zobrazit tu vaši v rámci a zachytávat kliknutí (bez X-Frame-Options nebo frame-ancestors -20).
  • nosniff: prohlížeč neodhaduje typy souborů (bez něj -5).
  • Referrer-Policy: adresy s parametry formuláře neuniknou na jiné weby (pokud je nebezpečná, -5).
  • Cookies: Secure, HttpOnly a SameSite (až -20).
  • Server a X-Powered-By bez verzí – útočníci hledají právě je (-5).

Podobné jako Mozilla HTTP Observatory a securityheaders.com; naše vážení dává na první místo to, co chrání údaje z formulářů. Dobré hodnocení neznamená chráněný formulář – k tomu slouží kontrola formuláře.