Проверка заголовков безопасности
Оцените HTTP-заголовки безопасности сайта (CSP, HSTS, X-Frame-Options и другие).
Об инструменте «Проверка заголовков безопасности»
Заголовки безопасности – это инструкции, которые сервер отправляет с каждой страницей и которые говорят браузеру, как защищать посетителей: принудительно использовать HTTPS, блокировать кликджекинг, запрещать угадывание MIME-типа, управлять данными реферера и ограничивать допустимые скрипты. Они не влияют на скорость и закрывают целые классы атак.
Проверка запрашивает страницу, оценивает шесть самых важных заголовков и показывает пример значения для отсутствующих. Content-Security-Policy – самый мощный и самый сложный: начните с режима только отчётов (Content-Security-Policy-Report-Only) и ужесточайте политику постепенно.
Частые вопросы
Влияют ли заголовки безопасности на SEO?
Не напрямую. Они защищают посетителей и репутацию сайта – взломанный сайт со спамом может сильно потерять в позициях.
Как добавить заголовки безопасности?
В .htaccess Apache через «Header set …», в Nginx через add_header, через CDN (Transform Rules в Cloudflare) или в коде приложения.
Нужен ли ещё X-XSS-Protection?
Нет. Современные браузеры удалили XSS-аудитор, которым он управлял. Используйте вместо него Content-Security-Policy.