formexposed
Zacznij

Nagłówki bezpieczeństwa

Jak dobrze Twoja strona chroni to, co wpisują odwiedzający?

Ocena od A+ do F dla nagłówków HTTP Twojej strony głównej: HTTPS i HSTS, Content Security Policy, ochrona przed osadzaniem w ramkach, cookies i to, co zdradza serwer. Bezpłatnie, bez konta, dwa zapytania.

Ładujemy Twoją stronę główną dwa razy (https i http), nic więcej. Domen z opt-out nie sprawdzamy.

Co sprawdzamy

Start: 100 punktów. Brak ochrony kosztuje punkty, dodatkowa ochrona dodaje kilka. Ocena wynika z punktów: A+ od 100 (z HTTPS, HSTS i ścisłą CSP), A od 90, B od 75, C od 60, D od 45, poniżej F.

  • HTTPS: strona i dane z formularza są szyfrowane (−40 bez).
  • HSTS: przeglądarka nigdy nie wraca do nieszyfrowanego http, nawet przy wpisanym adresie (−20 bez, −10 poniżej 6 miesięcy, +5 z preload).
  • Content Security Policy: działają tylko dozwolone skrypty – wstrzyknięty skrypt nie odczyta formularza (−25 bez, −15 tylko report-only, −10 z unsafe-inline/eval).
  • Ramki: żadna obca strona nie pokaże Twojej w ramce i nie przechwyci kliknięć (−20 bez X-Frame-Options lub frame-ancestors).
  • nosniff: przeglądarka nie zgaduje typów plików (−5 bez).
  • Referrer-Policy: adresy z parametrami formularza nie trafiają do obcych stron (−5 gdy niebezpieczna).
  • Cookies: Secure, HttpOnly i SameSite (do −20).
  • Server i X-Powered-By bez wersji – właśnie ich szukają atakujący (−5).

Podobnie jak Mozilla HTTP Observatory i securityheaders.com; nasze wagi stawiają na pierwszym miejscu to, co chroni dane z formularzy. Dobra ocena nie oznacza, że formularz jest chroniony – do tego służy sprawdzenie formularza.