安全响应头

您的网站对访客输入内容的保护做得如何？

为您首页的 HTTP 响应头给出从 A+ 到 F 的评级：HTTPS 和 HSTS、Content Security Policy、防框架嵌入、Cookie 以及服务器泄露的信息。免费，无需账户，仅两次请求。

我们只加载您的首页两次（https 和 http），不做其他任何事。已选择退出的域名不会被检查。

我们检查什么

起始分：100 分。缺少防护会扣分，额外防护会加几分。评级取决于分数：100 分及以上为 A+（需具备 HTTPS、HSTS 和严格的 CSP），90 分起为 A，75 分起为 B，60 分起为 C，45 分起为 D，低于此为 F。

HTTPS：页面和表单内容以加密方式传输（没有则扣 40 分）。
HSTS：浏览器绝不会回退到未加密的 http，即使是手动输入的地址（没有则扣 20 分，少于 6 个月扣 10 分，有 preload 加 5 分）。
Content Security Policy：只运行经批准的脚本——注入的脚本无法读取表单（没有则扣 25 分，仅 report-only 扣 15 分，含 unsafe-inline/eval 扣 10 分）。
框架嵌入：任何外部页面都无法在框架中显示您的页面并截获点击（没有 X-Frame-Options 或 frame-ancestors 则扣 20 分）。
nosniff：浏览器不会猜测文件类型（没有则扣 5 分）。
Referrer-Policy：带有表单参数的地址不会泄露给其他网站（不安全则扣 5 分）。
Cookie：Secure、HttpOnly 和 SameSite（最多扣 20 分）。
Server 和 X-Powered-By 不含版本号——攻击者正是在寻找这些信息（扣 5 分）。

类似于 Mozilla HTTP Observatory 和 securityheaders.com；我们的权重优先考虑保护表单内容的措施。评级高并不代表表单受到保护——那是表单检查的任务。