formexposed
Ξεκινήστε

Κεφαλίδες ασφάλειας

Πόσο καλά προστατεύει ο ιστότοπός σας ό,τι πληκτρολογούν οι επισκέπτες;

Ένας βαθμός από A+ έως F για τις κεφαλίδες HTTP της αρχικής σας σελίδας: HTTPS και HSTS, Content Security Policy, προστασία από ενσωμάτωση σε frame, cookies και ό,τι αποκαλύπτει ο server. Δωρεάν, χωρίς λογαριασμό, δύο αιτήματα.

Φορτώνουμε την αρχική σας σελίδα δύο φορές (https και http), τίποτα άλλο. Τα domains που έχουν εξαιρεθεί δεν ελέγχονται.

Τι ελέγχουμε

Αρχή: 100 βαθμοί. Η προστασία που λείπει κοστίζει βαθμούς, η επιπλέον προστασία προσθέτει μερικούς. Ο βαθμός ακολουθεί τους βαθμούς: A+ από 100 (με HTTPS, HSTS και αυστηρή CSP), A από 90, B από 75, C από 60, D από 45, κάτω από αυτό F.

  • HTTPS: η σελίδα και οι καταχωρίσεις της φόρμας μεταδίδονται κρυπτογραφημένα (-40 χωρίς).
  • HSTS: τα προγράμματα περιήγησης δεν επιστρέφουν ποτέ σε μη κρυπτογραφημένο http, ακόμη και σε πληκτρολογημένη διεύθυνση (-20 χωρίς, -10 κάτω από 6 μήνες, +5 με preload).
  • Content Security Policy: εκτελούνται μόνο εγκεκριμένα scripts - ένα εισαγμένο script δεν μπορεί να διαβάσει τη φόρμα (-25 χωρίς, -15 report-only, -10 με unsafe-inline/eval).
  • Ενσωμάτωση σε frame: καμία ξένη σελίδα δεν μπορεί να εμφανίσει τη δική σας σε frame και να υποκλέψει κλικ (-20 χωρίς X-Frame-Options ή frame-ancestors).
  • nosniff: το πρόγραμμα περιήγησης δεν μαντεύει τύπους αρχείων (-5 χωρίς).
  • Referrer-Policy: διευθύνσεις με παραμέτρους φόρμας δεν διαρρέουν σε άλλους ιστότοπους (-5 αν δεν είναι ασφαλής).
  • Cookies: Secure, HttpOnly και SameSite (έως -20).
  • Server και X-Powered-By χωρίς εκδόσεις - αυτές ακριβώς αναζητούν οι επιτιθέμενοι (-5).

Παρόμοιο με το Mozilla HTTP Observatory και το securityheaders.com· η στάθμισή μας δίνει προτεραιότητα σε ό,τι προστατεύει τις καταχωρίσεις φορμών. Ένας καλός βαθμός δεν σημαίνει προστατευμένη φόρμα - γι' αυτό υπάρχει ο έλεγχος φόρμας.