formexposed
Mula sekarang

Pengepala keselamatan

Sejauh manakah laman anda melindungi maklumat yang ditaip oleh pelawat?

Gred daripada A+ hingga F untuk pengepala HTTP halaman utama anda: HTTPS dan HSTS, Content Security Policy, perlindungan daripada pembingkaian, kuki serta maklumat yang didedahkan oleh pelayan. Percuma, tanpa akaun, dua permintaan.

Kami memuatkan halaman utama anda dua kali (https dan http), dan tiada yang lain. Domain yang memilih untuk dikecualikan tidak disemak.

Perkara yang kami semak

Permulaan: 100 mata. Ketiadaan perlindungan mengurangkan mata, manakala perlindungan tambahan menambah beberapa mata. Gred ditentukan oleh mata: A+ mulai 100 (dengan HTTPS, HSTS dan CSP yang ketat), A mulai 90, B mulai 75, C mulai 60, D mulai 45, dan F bagi mata yang lebih rendah.

  • HTTPS: halaman dan data borang dihantar secara tersulit (-40 jika tiada).
  • HSTS: pelayar tidak beralih semula kepada http yang tidak disulitkan, walaupun alamat ditaip (-20 jika tiada, -10 jika kurang daripada 6 bulan, +5 dengan preload).
  • Content Security Policy: hanya skrip yang diluluskan berjalan - skrip yang disuntik tidak dapat membaca borang (-25 jika tiada, -15 bagi report-only, -10 dengan unsafe-inline/eval).
  • Pembingkaian: tiada halaman luar boleh memaparkan halaman anda dalam bingkai dan memintas klik (-20 tanpa X-Frame-Options atau frame-ancestors).
  • nosniff: pelayar tidak meneka jenis fail (-5 jika tiada).
  • Referrer-Policy: alamat yang mengandungi parameter borang tidak bocor ke laman lain (-5 jika tidak selamat).
  • Kuki: Secure, HttpOnly dan SameSite (sehingga -20).
  • Server dan X-Powered-By tanpa versi - penyerang mencari maklumat versi itu secara khusus (-5).

Serupa dengan Mozilla HTTP Observatory dan securityheaders.com; pemberatan kami mengutamakan perlindungan data borang. Gred yang baik tidak bermakna borang dilindungi - semakan borang digunakan untuk menentukannya.