formexposed
Kezdés

Biztonsági fejlécek

Mennyire védi a webhelye azt, amit a látogatók beírnak?

Osztályzat A+-tól F-ig a kezdőoldal HTTP-fejléceire: HTTPS és HSTS, Content Security Policy, keretbe ágyazás elleni védelem, sütik és a szerver által felfedett információk. Ingyenes, fiók nélkül, két kérés.

Kétszer töltjük be a kezdőoldalát (https és http), semmi mást. Az ellenőrzésből kizárt domaineket nem vizsgáljuk.

Mit ellenőrzünk

Kezdés: 100 pont. A hiányzó védelem pontlevonást, a kiegészítő védelem néhány pluszpontot jelent. Az osztályzat a pontszámot követi: A+ 100 ponttól (HTTPS, HSTS és szigorú CSP mellett), A 90-től, B 75-től, C 60-tól, D 45-től, ez alatt F.

  • HTTPS: az oldal és az űrlapbejegyzések titkosítva továbbítódnak (-40, ha hiányzik).
  • HSTS: a böngészők soha nem térnek vissza titkosítatlan http-re, még kézzel beírt címnél sem (-20, ha hiányzik, -10, ha 6 hónapnál rövidebb, +5 preload esetén).
  • Content Security Policy: csak jóváhagyott szkriptek futhatnak – egy befecskendezett szkript nem olvashatja az űrlapot (-25, ha hiányzik, -15 report-only esetén, -10 unsafe-inline/eval mellett).
  • Keretbe ágyazás: idegen oldal nem jelenítheti meg az Ön oldalát keretben a kattintások eltérítésére (-20 X-Frame-Options vagy frame-ancestors nélkül).
  • nosniff: a böngésző nem találgatja a fájltípusokat (-5, ha hiányzik).
  • Referrer-Policy: az űrlapparamétereket tartalmazó címek nem szivárognak más webhelyekre (-5, ha nem biztonságos).
  • Sütik: Secure, HttpOnly és SameSite (akár -20).
  • Server és X-Powered-By verziók nélkül – a támadók pontosan ezeket keresik (-5).

Hasonló a Mozilla HTTP Observatory és a securityheaders.com értékeléséhez; súlyozásunk az űrlapbejegyzéseket védő elemeket helyezi előtérbe. A jó osztályzat nem jelent védett űrlapot – erre szolgál az űrlapellenőrzés.