Softonic

Анализатор заголовков безопасности

Шаг 1 / 3
Далее

Вставьте необработанные заголовки HTTP-ответа любого сайта, и этот анализатор укажет, чего не хватает или что слабо. Он проверяет заголовки, которые действительно усиливают сайт (Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy и Permissions-Policy) и отмечает заголовки вроде Server или X-Powered-By, которые раскрывают детали версии. Каждый вывод помечен как высокий, средний или низкий, чтобы вы точно знали, что исправить в первую очередь.

Как работает аудит заголовков

  1. 1

    Получите свои заголовки ответа

    Выполните `curl -I https://example.com` или скопируйте заголовки ответа из вкладки «Сеть» в инструментах разработчика вашего браузера.

  2. 2

    Вставьте их

    Поместите блок заголовков в поле, по одной паре `Имя: значение` на строку.

  3. 3

    Прочитайте приоритизированные выводы

    Каждый заголовок проверяется, и любой пробел помечается как высокий, средний или низкий, с точной директивой, которую нужно добавить.

  4. 4

    Усильте и проверьте снова

    Добавьте недостающие заголовки в конфигурацию сервера, перезагрузите её, затем вставьте новый ответ, чтобы убедиться, что пробелы закрыты.

Заголовки, которые решают

Заголовок Что он блокирует Минимальное рекомендуемое значение
Content-Security-Policy XSS, кликджекинг, смешанный контент default-src 'self'; object-src 'none'; frame-ancestors 'none'
Strict-Transport-Security SSL stripping, утечка cookie через HTTP max-age=31536000; includeSubDomains; preload
X-Frame-Options Кликджекинг в старых браузерах DENY (или положиться на CSP frame-ancestors)
X-Content-Type-Options MIME-sniffing загруженных файлов nosniff
Referrer-Policy Утечка полных URL третьим сторонам strict-origin-when-cross-origin
Permissions-Policy Камера/микрофон/геолокация в недоверенных встраиваниях camera=(), microphone=(), geolocation=()

Что отмечает этот анализатор

Вставьте свои заголовки, и он проверит каждый из этих пунктов, помечая каждый пробел по приоритету:

  • Отсутствует Strict-Transport-Security (высокий), или он есть, но без includeSubDomains (средний), из-за чего поддомены остаются открытыми для понижения.
  • Отсутствует Content-Security-Policy (высокий), или CSP, который всё ещё разрешает 'unsafe-inline' (средний), что сводит на нет большую часть его пользы.
  • X-Content-Type-Options не задан в nosniff (низкий), из-за чего браузеры могут выполнять MIME-sniffing ответов.
  • Отсутствует X-Frame-Options (средний), если только директива CSP frame-ancestors уже не выполняет эту задачу.
  • Отсутствует Referrer-Policy или Permissions-Policy (низкий): полные URL утекают третьим сторонам, а мощные функции браузера остаются открытыми.
  • Присутствует Server или X-Powered-By (низкий): они раскрывают ваш стек и его версию, поэтому удалите их, чтобы снизить узнаваемость.

Совет по внедрению

Сначала разверните CSP в режиме только отчётов (Content-Security-Policy-Report-Only) и подключите конечную точку для отчётов. Дайте ему поработать неделю на реальном трафике перед переходом к принудительному режиму: вы обнаружите сторонние скрипты, о которых забыли.

Часто задаваемые вопросы

Вставьте полные заголовки HTTP-ответа, по одной паре Имя: значение на строку. Самый быстрый источник: curl -I https://example.com или раздел заголовков ответа под любым запросом во вкладке «Сеть» вашего браузера.

Нет. Он читает только заголовки HTTP-ответа, которые вы вставляете. CSP, доставленная через тег <meta http-equiv>, применяется только к этому одному документу и слабее настоящего заголовка, поэтому отправляйте вариант в виде заголовка.

Нет. Все современные браузеры удалили аудитор XSS, поэтому заголовок не даёт защиты и иногда может создавать собственные проблемы. Его заменяет надёжная Content-Security-Policy.

CDN вроде Cloudflare может удалять или переписывать заголовки (в частности Server и опционально CSP через Transform Rules). Сравните напрямую с источником с помощью curl -I по публичному URL, чтобы увидеть, что именно меняет граничный узел.

Сопутствующие инструменты

Генератор карты сайта

Вставьте список URL и создайте корректную карту сайта XML с changefreq, priority и необязательным lastmod, готовую к сохранению и отправке в Search Console.

Генератор Breadcrumb Schema

Создавайте валидный BreadcrumbList JSON-LD для любой иерархии страниц. Генерирует разметку schema.org, готовую для вставки в head сайта.

Проверка тегов Open Graph

Вставьте HTML своей страницы и сразу увидите, какие теги Open Graph и Twitter Card присутствуют, каких обязательных не хватает и какое точное значение у каждого.

Парсер UTM

Вставьте URL кампании и прочитайте пять стандартных UTM-меток (source, medium, campaign, term и content) с каждым декодированным значением. Быстрый способ проверить ссылку отслеживания перед отправкой.

Проверка смешанного контента

Просканируйте любую страницу на HTTPS в поисках небезопасных HTTP-ресурсов, которые вызывают предупреждения о смешанном контенте и ломают значок замка в браузере.

Инструмент для извлечения метаданных

Извлеките метаданные страницы из любого URL: название, метаописание, Open Graph, карточки в Twitter, канонический URL и структурированные данные в формате JSON-LD.

Инструмент доступен на других языках