安全响应头检测

检查你的安全响应头，几分钟就能修好。

安全响应头告诉浏览器如何保护你的访客免受注入脚本、点击劫持和数据泄露的威胁。看看你缺少哪些，并获取可以粘贴到服务器或 CDN 的配置。

被动扫描。未经你的许可，不会进行任何攻击性检测。

我们检查的响应头

Strict-Transport-Security（HSTS）：是否存在，以及时长是否足够发挥作用。
Content-Security-Policy：抵御注入脚本和盗卡 skimmer 的主要防线。
X-Frame-Options（或 CSP 的 frame-ancestors）：防止其他网站把你的网站嵌入框架进行点击劫持。
X-Content-Type-Options：nosniff。
Referrer-Policy 和 Permissions-Policy。
Cookie 属性（Secure、HttpOnly、SameSite）以及会泄露服务器版本的响应头。

一套安全的起步配置

这些响应头几乎适用于所有网站。从这里开始，然后以仅报告模式添加 Content-Security-Policy。

nginx

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Apache、Cloudflare 和 WordPress 的版本见安全响应头指南。

不只是一个字母

单独的响应头评级无法告诉你下一步该做什么。HackGrade 把响应头与 HTTPS、软件版本、WordPress 和邮件放在一起评估，让你先修复风险最高的问题。

常见问题

哪些安全响应头最重要？

对大多数小网站来说：首先是带 HSTS 的 HTTPS，然后是 X-Content-Type-Options、框架策略和 Referrer-Policy（都风险很低），最后是需要一些测试的 Content-Security-Policy。

安全响应头会让我的网站出问题吗？

基础的响应头很少会。严格的 Content-Security-Policy 可能会拦截你依赖的脚本，所以我们建议先使用 Content-Security-Policy-Report-Only。

还需要 X-XSS-Protection 吗？

不需要。现代浏览器已经移除了它所控制的 XSS 过滤器。MDN 建议改用 Content-Security-Policy，因此缺少 X-XSS-Protection 响应头不会被扣分。

附可复制粘贴修复方法的指南

指南

安全响应头

可直接复制粘贴到 nginx、Apache（.htaccess）、Cloudflare 和 WordPress 的 HTTP 安全响应头：HSTS、X-Content-Type-Options、防框架嵌入、Referrer-Policy 和 Permissions-Policy。

指南

Content-Security-Policy

在不弄坏网站的前提下部署 Content-Security-Policy：从仅报告模式开始，建立允许列表，然后强制执行。附 nginx、Apache 和 WordPress 示例。

指南

HSTS

HSTS 的作用、为什么先用较短的 max-age、何时使用 includeSubDomains 和 preload，并附可复制粘贴到 nginx、Apache 和 Cloudflare 的配置。

指南

Cookie 安全属性

Secure、HttpOnly 和 SameSite 这几个 Cookie 属性的作用，以及如何在 PHP、WordPress、nginx 和 Apache 中设置它们，同时不破坏脚本需要的 Cookie。

指南

隐藏服务器和 PHP 版本

不再公开你的软件版本：nginx 的 server_tokens、Apache 的 ServerTokens、PHP 的 expose_php 以及 WordPress 的 generator 标签，并说明为什么更新比隐藏更重要。

抢在别人之前了解你的评级。