formexposed
Kom i gang

Sikkerhetshoder

Hvor godt beskytter nettstedet det besøkende skriver inn?

En karakter fra A+ til F for HTTP-hodene på startsiden din: HTTPS og HSTS, Content Security Policy, beskyttelse mot innramming, informasjonskapsler og hva serveren avslører. Gratis, ingen konto, to forespørsler.

Vi laster inn startsiden din to ganger (https og http), ingenting annet. Domener som har reservert seg, blir ikke kontrollert.

Dette kontrollerer vi

Start: 100 poeng. Manglende beskyttelse koster poeng, ekstra beskyttelse gir noen tilleggspoeng. Karakteren følger poengene: A+ fra 100 (med HTTPS, HSTS og en streng CSP), A fra 90, B fra 75, C fra 60, D fra 45, og F under det.

  • HTTPS: siden og skjemaopplysningene overføres kryptert (-40 uten).
  • HSTS: nettlesere faller aldri tilbake til ukryptert http, heller ikke for en innskrevet adresse (-20 uten, -10 under 6 måneder, +5 med preload).
  • Content Security Policy: bare godkjente skript kjører - et injisert skript kan ikke lese skjemaet (-25 uten, -15 med bare rapportering, -10 med unsafe-inline/eval).
  • Innramming: ingen fremmed side kan vise din side i en ramme og fange klikk (-20 uten X-Frame-Options eller frame-ancestors).
  • nosniff: nettleseren gjetter ikke filtyper (-5 uten).
  • Referrer-Policy: adresser med skjemaparametere lekker ikke til andre nettsteder (-5 hvis usikker).
  • Informasjonskapsler: Secure, HttpOnly og SameSite (opptil -20).
  • Server og X-Powered-By uten versjoner - angripere ser etter nettopp disse (-5).

Ligner Mozilla HTTP Observatory og securityheaders.com; vektingen vår prioriterer det som beskytter skjemaopplysninger. En god karakter betyr ikke at skjemaet er beskyttet - det er derfor skjemakontrollen finnes.