formexposed
Inizia ora

Header di sicurezza

Quanto protegge il Suo sito ciò che i visitatori digitano?

Un voto da A+ a F per gli header HTTP della Sua pagina iniziale: HTTPS e HSTS, Content Security Policy, protezione dall'incorporamento in frame, cookie e ciò che il server rivela. Gratuito, senza account, due richieste.

Carichiamo la Sua pagina iniziale due volte (https e http), nient'altro. I domini che hanno esercitato l'opt-out non vengono verificati.

Cosa verifichiamo

Partenza: 100 punti. Le protezioni mancanti costano punti, quelle aggiuntive ne aggiungono alcuni. Il voto segue i punti: A+ da 100 (con HTTPS, HSTS e una CSP rigorosa), A da 90, B da 75, C da 60, D da 45, al di sotto F.

  • HTTPS: la pagina e i dati inseriti nei moduli viaggiano crittografati (-40 senza).
  • HSTS: i browser non tornano mai a http non crittografato, nemmeno con un indirizzo digitato (-20 senza, -10 sotto i 6 mesi, +5 con preload).
  • Content Security Policy: vengono eseguiti solo script approvati - uno script iniettato non può leggere il modulo (-25 senza, -15 solo report-only, -10 con unsafe-inline/eval).
  • Incorporamento in frame: nessuna pagina estranea può mostrare la Sua in un frame e intercettare i clic (-20 senza X-Frame-Options o frame-ancestors).
  • nosniff: il browser non indovina i tipi di file (-5 senza).
  • Referrer-Policy: gli indirizzi con parametri dei moduli non trapelano verso altri siti (-5 se non sicura).
  • Cookie: Secure, HttpOnly e SameSite (fino a -20).
  • Server e X-Powered-By senza versioni - gli aggressori cercano proprio quelle (-5).

Simile a Mozilla HTTP Observatory e securityheaders.com; la nostra ponderazione mette al primo posto ciò che protegge i dati inseriti nei moduli. Un buon voto non significa un modulo protetto - a questo serve la verifica del modulo.