เว็บไซต์ปกป้องสิ่งที่ผู้เยี่ยมชมพิมพ์ได้ดีเพียงใด?

สิ่งที่เราตรวจสอบ

เริ่มที่ 100 คะแนน การป้องกันที่ขาดทำให้เสียคะแนน การป้องกันเพิ่มเติมเพิ่มเล็กน้อย เกรดตามคะแนน: A+ ตั้งแต่ 100 (พร้อม HTTPS, HSTS และ CSP ที่เข้มงวด), A ตั้งแต่ 90, B ตั้งแต่ 75, C ตั้งแต่ 60, D ตั้งแต่ 45 ต่ำกว่านั้นเป็น F

• HTTPS: หน้าเว็บและข้อมูลแบบฟอร์มรับส่งแบบเข้ารหัส (-40 หากไม่มี)
• HSTS: เบราว์เซอร์ไม่ย้อนกลับไปใช้ http ที่ไม่เข้ารหัส แม้พิมพ์ที่อยู่เอง (-20 หากไม่มี, -10 หากน้อยกว่า 6 เดือน, +5 เมื่อใช้ preload)
• Content Security Policy: รันเฉพาะสคริปต์ที่อนุมัติ สคริปต์ที่ถูกแทรกจึงอ่านแบบฟอร์มไม่ได้ (-25 หากไม่มี, -15 หาก report-only, -10 เมื่อใช้ unsafe-inline/eval)
• การแสดงในเฟรม: หน้าเว็บอื่นไม่สามารถแสดงเว็บไซต์ของคุณในเฟรมและดักการคลิกได้ (-20 หากไม่มี X-Frame-Options หรือ frame-ancestors)
• nosniff: เบราว์เซอร์ไม่เดาประเภทไฟล์ (-5 หากไม่มี)
• Referrer-Policy: ที่อยู่ที่มีพารามิเตอร์แบบฟอร์มไม่รั่วไหลไปเว็บไซต์อื่น (-5 หากไม่ปลอดภัย)
• คุกกี้: Secure, HttpOnly และ SameSite (สูงสุด -20)
• Server และ X-Powered-By ไม่ควรมีเวอร์ชัน ผู้โจมตีค้นหาเวอร์ชันเหล่านี้โดยเฉพาะ (-5)

คล้าย Mozilla HTTP Observatory และ securityheaders.com แต่การให้น้ำหนักของเราเน้นสิ่งที่ป้องกันข้อมูลแบบฟอร์มก่อน เกรดดีไม่ได้หมายความว่าแบบฟอร์มมีการป้องกัน การตรวจสอบแบบฟอร์มมีไว้เพื่อตรวจเรื่องนั้น