formexposed
Hefjast handa

Öryggishausar

Hversu vel verndar vefsvæðið þitt það sem gestir slá inn?

Einkunn frá A+ til F fyrir HTTP-hausa upphafssíðunnar þinnar: HTTPS og HSTS, Content Security Policy, vörn gegn innrömmun, vafrakökur og það sem þjónninn gefur upp. Ókeypis, enginn aðgangur, tvær beiðnir.

Við hlöðum upphafssíðunni þinni tvisvar (https og http), engu öðru. Lén sem hafa beðist undan eru ekki athuguð.

Það sem við athugum

Upphaf: 100 stig. Varnir sem vantar kosta stig, viðbótarvarnir bæta nokkrum við. Einkunnin fylgir stigunum: A+ frá 100 (með HTTPS, HSTS og strangri CSP), A frá 90, B frá 75, C frá 60, D frá 45, þar fyrir neðan F.

  • HTTPS: síðan og innsendingar eyðublaðsins fara dulkóðaðar (-40 án).
  • HSTS: vafrar falla aldrei aftur í ódulkóðað http, jafnvel við innslátt veffangs (-20 án, -10 undir 6 mánuðum, +5 með preload).
  • Content Security Policy: aðeins samþykktir forritabútar keyra — innspýttur forritabútur getur ekki lesið eyðublaðið (-25 án, -15 report-only, -10 með unsafe-inline/eval).
  • Innrömmun: engin utanaðkomandi síða getur sýnt þína í ramma og fangað smelli (-20 án X-Frame-Options eða frame-ancestors).
  • nosniff: vafrinn giskar ekki á skráargerðir (-5 án).
  • Referrer-Policy: vefföng með eyðublaðsfæribreytum leka ekki til annarra vefsvæða (-5 ef óöruggt).
  • Vafrakökur: Secure, HttpOnly og SameSite (allt að -20).
  • Server og X-Powered-By án útgáfa — árásaraðilar leita sérstaklega að þeim (-5).

Svipað og Mozilla HTTP Observatory og securityheaders.com; vægi okkar setur það sem verndar innsendingar eyðublaða í forgang. Góð einkunn þýðir ekki að eyðublað sé varið — til þess er eyðublaðsathugunin.