formexposed
Почати

Захисні заголовки

Наскільки добре Ваш сайт захищає введені відвідувачами дані?

Оцінка від A+ до F для заголовків HTTP Вашої головної сторінки: HTTPS і HSTS, Content Security Policy, захист від вбудовування у фрейм, файли cookie й інформація, яку розкриває сервер. Безкоштовно, без облікового запису, два запити.

Ми двічі завантажуємо Вашу головну сторінку (https та http), і більше нічого. Домени, які відмовилися, не перевіряються.

Що ми перевіряємо

Початок: 100 балів. Відсутній захист віднімає бали, додатковий — додає кілька. Оцінка залежить від балів: A+ від 100 (із HTTPS, HSTS і суворою CSP), A від 90, B від 75, C від 60, D від 45, нижче — F.

  • HTTPS: сторінка й дані форми передаються зашифрованими (-40 за відсутності).
  • HSTS: браузери ніколи не повертаються до незашифрованого http, навіть для вручну введеної адреси (-20 за відсутності, -10 за строку менше 6 місяців, +5 із preload).
  • Content Security Policy: виконуються лише дозволені скрипти — впроваджений скрипт не може читати форму (-25 за відсутності, -15 за report-only, -10 із unsafe-inline/eval).
  • Фрейми: стороння сторінка не може показати Вашу у фреймі й перехоплювати кліки (-20 без X-Frame-Options або frame-ancestors).
  • nosniff: браузер не вгадує типи файлів (-5 за відсутності).
  • Referrer-Policy: адреси з параметрами форми не витікають на інші сайти (-5 за небезпечного налаштування).
  • Файли cookie: Secure, HttpOnly і SameSite (до -20).
  • Server і X-Powered-By без версій — зловмисники шукають саме їх (-5).

Подібно до Mozilla HTTP Observatory та securityheaders.com; у наших вагових коефіцієнтах пріоритет має захист даних форм. Гарна оцінка не означає захищеної форми — для цього є перевірка форми.