בדיקת כותרות אבטחה

בדקו את כותרות האבטחה ותקנו תוך דקות.

כותרות אבטחה אומרות לדפדפנים איך להגן על המבקרים שלכם מפני סקריפטים מוזרקים, clickjacking ודליפת מידע. ראו אילו חסרות לכם, עם שורות שאפשר להדביק בשרת או ב-CDN.

סריקה פסיבית בלבד. שום בדיקה חודרנית לא מתבצעת בלי האישור שלכם.

הכותרות שאנחנו בודקים

  • Strict-Transport-Security ‏(HSTS): קיימת, ועם משך ארוך מספיק כדי שתשפיע.
  • Content-Security-Policy: ההגנה העיקרית מפני סקריפטים מוזרקים וסקימרים של כרטיסי אשראי.
  • X-Frame-Options (או frame-ancestors של CSP): מונעת מאתרים אחרים להטמיע את האתר שלכם במסגרת לצורך clickjacking.
  • X-Content-Type-Options: nosniff.
  • Referrer-Policy ו-Permissions-Policy.
  • מאפייני עוגיות (Secure, HttpOnly, SameSite) וכותרות שחושפות את גרסת השרת.

ערכת פתיחה בטוחה

הכותרות האלה בטוחות כמעט לכל אתר. התחילו מכאן, ואז הוסיפו Content-Security-Policy במצב דיווח בלבד.

nginx
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

הגרסאות ל-Apache, ל-Cloudflare ולוורדפרס נמצאות במדריך כותרות האבטחה.

יותר מאות אחת

ציון כותרות לבדו לא אומר לכם מה לעשות הלאה. HackGrade מציג את הכותרות בהקשר של HTTPS, גרסאות תוכנה, וורדפרס ואימייל, כדי שתתקנו קודם את מה שמסוכן יותר.

שאלות נפוצות

אילו כותרות אבטחה הכי חשובות?

לרוב האתרים הקטנים: קודם HTTPS עם HSTS, אחר כך X-Content-Type-Options, מדיניות מסגרות ו-Referrer-Policy (כולן בסיכון נמוך), ואז Content-Security-Policy, שדורשת קצת בדיקות.

כותרות אבטחה יכולות לשבור את האתר שלי?

הכותרות הבסיסיות כמעט אף פעם לא שוברות. Content-Security-Policy נוקשה עלולה לחסום סקריפטים שאתם צריכים, ולכן אנחנו ממליצים להתחיל עם Content-Security-Policy-Report-Only.

עדיין צריך את X-XSS-Protection?

לא. הדפדפנים המודרניים הסירו את מסנן ה-XSS שהיא שלטה בו. MDN ממליצה על Content-Security-Policy במקומה, ולכן אנחנו לא מורידים נקודות על היעדר הכותרת X-XSS-Protection.

מדריכים עם תיקונים להעתקה

מדריך

כותרות אבטחה

כותרות אבטחה של HTTP להעתקה ל-nginx, ל-Apache ‏(.htaccess), ל-Cloudflare ולוורדפרס: HSTS, ‏X-Content-Type-Options, הגנה מפני הטמעה במסגרת, Referrer-Policy ו-Permissions-Policy.

מדריך

Content-Security-Policy

הטמיעו Content-Security-Policy בלי לשבור את האתר: התחילו במצב דיווח בלבד, בנו רשימת היתרים ואז אכפו. דוגמאות ל-nginx, ל-Apache ולוורדפרס.

מדריך

HSTS

מה HSTS עושה, למה להתחיל עם max-age קצר, מתי להשתמש ב-includeSubDomains וב-preload, עם שורות להעתקה ל-nginx, ל-Apache ול-Cloudflare.

מדריך

דגלי אבטחה לעוגיות

מה עושים דגלי העוגיות Secure,‏ HttpOnly ו־SameSite ואיך מגדירים אותם ב־PHP, בוורדפרס, ב־nginx וב־Apache, בלי לשבור עוגיות שהסקריפטים שלכם צריכים.

מדריך

הסתרת גרסאות השרת וה־PHP

תפסיקו לפרסם את גרסאות התוכנה שלכם: server_tokens ב־nginx,‏ ServerTokens ב־Apache,‏ expose_php ב־PHP ותגית ה־generator של וורדפרס, וגם למה עדכון חשוב יותר מהסתרה.

עוד בדיקות חינמיות

חינם · מיידי · בלי הרשמה

גלו את הציון שלכם לפני שמישהו אחר יגלה.

סריקה פסיבית בלבד. שום בדיקה חודרנית לא מתבצעת בלי האישור שלכם.

מתחילים בחינם. תוכניות בתשלום מ־12$ לחודש, או דוח חד־פעמי ב־29$. למחירים