formexposed
Začnite

Varnostne glave

Kako dobro Vaše spletno mesto ščiti, kar vtipkajo obiskovalci?

Ocena od A+ do F za glave HTTP Vaše začetne strani: HTTPS in HSTS, Content Security Policy, zaščita pred vstavljanjem v okvir, piškotki in kaj strežnik izda o sebi. Brezplačno, brez računa, dve zahtevi.

Vašo začetno stran naložimo dvakrat (https in http), nič drugega. Domen, ki so se izključile, ne preverjamo.

Kaj preverimo

Začetek: 100 točk. Manjkajoča zaščita stane točke, dodatna zaščita jih nekaj doda. Ocena sledi točkam: A+ od 100 (s HTTPS, HSTS in strogo CSP), A od 90, B od 75, C od 60, D od 45, pod tem F.

  • HTTPS: stran in vnosi v obrazec potujejo šifrirano (-40 brez).
  • HSTS: brskalniki se nikoli ne vrnejo na nešifriran http, niti pri vtipkanem naslovu (-20 brez, -10 pod 6 mesecev, +5 s preload).
  • Content Security Policy: izvajajo se samo odobrene skripte – vrinjena skripta ne more brati obrazca (-25 brez, -15 report-only, -10 z unsafe-inline/eval).
  • Vstavljanje v okvir: nobena tuja stran ne more prikazati Vaše v okvirju in prestrezati klikov (-20 brez X-Frame-Options ali frame-ancestors).
  • nosniff: brskalnik ne ugiba vrst datotek (-5 brez).
  • Referrer-Policy: naslovi s parametri obrazca ne uhajajo na druga spletna mesta (-5, če ni varna).
  • Piškotki: Secure, HttpOnly in SameSite (do -20).
  • Server in X-Powered-By brez različic – napadalci iščejo prav te (-5).

Podobno kot Mozilla HTTP Observatory in securityheaders.com; naše uteževanje na prvo mesto postavi tisto, kar ščiti vnose v obrazec. Dobra ocena ne pomeni zaščitenega obrazca – za to je namenjeno preverjanje obrazca.