formexposed
Başlayın

Güvenlik başlıkları

Siteniz ziyaretçilerin yazdıklarını ne kadar iyi koruyor?

Ana sayfanızın HTTP başlıkları için A+ ile F arası not: HTTPS ve HSTS, Content Security Policy, çerçeveye almaya karşı koruma, çerezler ve sunucunun açığa çıkardıkları. Ücretsiz, hesap gerekmez, iki istek.

Ana sayfanızı iki kez (https ve http) yükleriz, başka hiçbir şey yapmayız. Kontrol dışında kalmayı seçen alan adları kontrol edilmez.

Neleri kontrol ediyoruz?

Başlangıç: 100 puan. Eksik koruma puan kaybettirir, ek koruma birkaç puan kazandırır. Not puana göre belirlenir: 100'den itibaren A+ (HTTPS, HSTS ve sıkı CSP ile), 90'dan itibaren A, 75'ten itibaren B, 60'tan itibaren C, 45'ten itibaren D, altında F.

  • HTTPS: sayfa ve form girdileri şifreli taşınır (yoksa -40).
  • HSTS: tarayıcılar, adres elle yazılsa bile şifresiz http'ye geri dönmez (yoksa -20, 6 aydan kısaysa -10, preload ile +5).
  • Content Security Policy: yalnızca onaylı betikler çalışır - enjekte edilen betik formu okuyamaz (yoksa -25, report-only ise -15, unsafe-inline/eval varsa -10).
  • Çerçeveye alma: başka sayfa sizin sayfanızı çerçevede gösterip tıklamaları yakalayamaz (X-Frame-Options veya frame-ancestors yoksa -20).
  • nosniff: tarayıcı dosya türünü tahmin etmez (yoksa -5).
  • Referrer-Policy: form parametreleri içeren adresler başka sitelere sızmaz (güvenli değilse -5).
  • Çerezler: Secure, HttpOnly ve SameSite (-20'ye kadar).
  • Sürüm numarası içermeyen Server ve X-Powered-By - saldırganlar özellikle bunları arar (-5).

Mozilla HTTP Observatory ve securityheaders.com'a benzer; ağırlıklandırmamız form girdilerini koruyan unsurlara öncelik verir. İyi not formun korunduğu anlamına gelmez - form kontrolü bunun içindir.