formexposed
Pradėti

Saugumo antraštės

Kaip gerai Jūsų svetainė saugo tai, ką įveda lankytojai?

Įvertinimas nuo A+ iki F Jūsų pradžios puslapio HTTP antraštėms: HTTPS ir HSTS, Content Security Policy, apsauga nuo įterpimo į rėmelį, slapukai ir tai, ką atskleidžia serveris. Nemokamai, be paskyros, dvi užklausos.

Jūsų pradžios puslapį įkeliame du kartus (https ir http), daugiau nieko. Domenai, kurie atsisakė patikrinimų, netikrinami.

Ką tikriname

Pradžia: 100 taškų. Trūkstama apsauga kainuoja taškų, papildoma apsauga prideda kelis. Įvertinimas priklauso nuo taškų: A+ nuo 100 (su HTTPS, HSTS ir griežta CSP), A nuo 90, B nuo 75, C nuo 60, D nuo 45, mažiau – F.

  • HTTPS: puslapis ir formų įrašai perduodami užšifruoti (-40 be jo).
  • HSTS: naršyklės niekada negrįžta prie nešifruoto http, net įvedus adresą ranka (-20 be jo, -10 jei mažiau nei 6 mėn., +5 su preload).
  • Content Security Policy: vykdomi tik patvirtinti skriptai – įterptas skriptas negali skaityti formos (-25 be jos, -15 tik report-only, -10 su unsafe-inline/eval).
  • Įterpimas į rėmelį: joks svetimas puslapis negali rodyti Jūsiškio rėmelyje ir perimti paspaudimų (-20 be X-Frame-Options ar frame-ancestors).
  • nosniff: naršyklė nespėlioja failų tipų (-5 be jo).
  • Referrer-Policy: adresai su formos parametrais nenuteka į kitas svetaines (-5, jei nesaugu).
  • Slapukai: Secure, HttpOnly ir SameSite (iki -20).
  • Server ir X-Powered-By be versijų – užpuolikai ieško būtent jų (-5).

Panašu į Mozilla HTTP Observatory ir securityheaders.com; mūsų vertinime pirmenybė teikiama tam, kas saugo formų įrašus. Geras įvertinimas nereiškia apsaugotos formos – tam skirtas formos patikrinimas.