formexposed
Aloita

Tietoturvaotsakkeet

Kuinka hyvin sivustosi suojaa sen, mitä kävijät kirjoittavat?

Arvosana A+:sta F:ään etusivusi HTTP-otsakkeille: HTTPS ja HSTS, Content Security Policy, suojaus kehystämistä vastaan, evästeet ja se, mitä palvelin paljastaa. Ilmainen, ei tiliä, kaksi pyyntöä.

Lataamme etusivusi kahdesti (https ja http), emme mitään muuta. Kieltäytyneitä verkkotunnuksia ei tarkisteta.

Mitä tarkistamme

Lähtökohta: 100 pistettä. Puuttuva suojaus vähentää pisteitä, lisäsuojaus tuo muutaman lisää. Arvosana määräytyy pisteiden mukaan: A+ 100 pisteestä alkaen (HTTPS, HSTS ja tiukka CSP), A 90:stä, B 75:stä, C 60:stä, D 45:stä, sen alle F.

  • HTTPS: sivu ja lomakkeen syötteet kulkevat salattuina (-40 ilman).
  • HSTS: selaimet eivät koskaan palaa salaamattomaan http:hen, ei edes kirjoitetulla osoitteella (-20 ilman, -10 alle 6 kuukautta, +5 preloadilla).
  • Content Security Policy: vain hyväksytyt skriptit suoritetaan – injektoitu skripti ei voi lukea lomaketta (-25 ilman, -15 report-only, -10 unsafe-inline/eval).
  • Kehystäminen: mikään vieras sivu ei voi näyttää sivuasi kehyksessä ja kaapata napsautuksia (-20 ilman X-Frame-Optionsia tai frame-ancestorsia).
  • nosniff: selain ei arvaa tiedostotyyppejä (-5 ilman).
  • Referrer-Policy: lomakeparametreja sisältävät osoitteet eivät vuoda muille sivustoille (-5, jos vaarallinen).
  • Evästeet: Secure, HttpOnly ja SameSite (enintään -20).
  • Server ja X-Powered-By ilman versioita – hyökkääjät etsivät juuri niitä (-5).

Vastaa Mozilla HTTP Observatorya ja securityheaders.comia; painotuksemme asettaa etusijalle sen, mikä suojaa lomakkeen syötteitä. Hyvä arvosana ei tarkoita suojattua lomaketta – sitä varten on lomaketarkistus.