formexposed
Начать

Заголовки безопасности

Насколько хорошо Ваш сайт защищает то, что вводят посетители?

Оценка от A+ до F для HTTP-заголовков Вашей главной страницы: HTTPS и HSTS, Content Security Policy, защита от встраивания во фреймы, cookie и то, что выдаёт сервер. Бесплатно, без аккаунта, два запроса.

Мы загружаем Вашу главную страницу дважды (https и http), больше ничего. Домены, отказавшиеся от проверок, не проверяются.

Что мы проверяем

Старт: 100 баллов. Отсутствие защиты стоит баллов, дополнительная защита добавляет несколько. Оценка следует за баллами: A+ от 100 (с HTTPS, HSTS и строгой CSP), A от 90, B от 75, C от 60, D от 45, ниже — F.

  • HTTPS: страница и данные из форм передаются в зашифрованном виде (-40 без него).
  • HSTS: браузеры никогда не переключаются обратно на незашифрованный http, даже при вводе адреса вручную (-20 без него, -10 при сроке менее 6 месяцев, +5 с preload).
  • Content Security Policy: выполняются только разрешённые скрипты — внедрённый скрипт не сможет прочитать форму (-25 без неё, -15 в режиме report-only, -10 с unsafe-inline/eval).
  • Встраивание во фреймы: ни одна чужая страница не может показать Вашу во фрейме и перехватывать клики (-20 без X-Frame-Options или frame-ancestors).
  • nosniff: браузер не угадывает типы файлов (-5 без него).
  • Referrer-Policy: адреса с параметрами форм не утекают на другие сайты (-5, если политика небезопасна).
  • Cookie: Secure, HttpOnly и SameSite (до -20).
  • Server и X-Powered-By без версий — злоумышленники ищут именно их (-5).

Аналогично Mozilla HTTP Observatory и securityheaders.com; наше взвешивание ставит на первое место то, что защищает данные из форм. Хорошая оценка не означает защищённую форму — для этого и существует проверка формы.