formexposed
Začať

Bezpečnostné hlavičky

Ako dobre Váš web chráni to, čo návštevníci zadávajú?

Hodnotenie od A+ po F pre hlavičky HTTP Vašej úvodnej stránky: HTTPS a HSTS, Content Security Policy, ochrana pred vkladaním do rámcov, cookies a čo server prezrádza. Zadarmo, bez účtu, dve požiadavky.

Vašu úvodnú stránku načítame dvakrát (https a http), nič viac. Domény, ktoré sa odhlásili, sa nekontrolujú.

Čo kontrolujeme

Začiatok: 100 bodov. Chýbajúca ochrana stojí body, ochrana navyše niekoľko pridá. Hodnotenie zodpovedá bodom: A+ od 100 (s HTTPS, HSTS a prísnou CSP), A od 90, B od 75, C od 60, D od 45, pod tým F.

  • HTTPS: stránka a údaje z formulára sa prenášajú šifrovane (-40 bez neho).
  • HSTS: prehliadače sa nikdy nevrátia k nešifrovanému http, ani pri ručne zadanej adrese (-20 bez neho, -10 pod 6 mesiacov, +5 s preload).
  • Content Security Policy: bežia len schválené skripty - vložený skript nemôže čítať formulár (-25 bez nej, -15 len report-only, -10 s unsafe-inline/eval).
  • Rámce: žiadna cudzia stránka nemôže zobraziť tú Vašu v rámci a zachytávať kliknutia (-20 bez X-Frame-Options alebo frame-ancestors).
  • nosniff: prehliadač neháda typy súborov (-5 bez neho).
  • Referrer-Policy: adresy s parametrami formulára neunikajú na iné weby (-5, ak nie je bezpečná).
  • Cookies: Secure, HttpOnly a SameSite (až -20).
  • Server a X-Powered-By bez verzií - útočníci hľadajú práve tie (-5).

Podobné ako Mozilla HTTP Observatory a securityheaders.com; naše váženie uprednostňuje to, čo chráni údaje z formulárov. Dobré hodnotenie neznamená chránený formulár - na to slúži kontrola formulára.