Μετάβαση στο περιεχόμενο
ipaddress.gr

Έλεγχος κεφαλίδων ασφάλειας

Λαμβάνουμε τις κεφαλίδες απάντησης ενός δημόσιου URL (χωρίς το σώμα) και ελέγχουμε τις προστατευτικές κεφαλίδες μία προς μία.

Παραδείγματα:

Μερικές από τις πιο αποτελεσματικές προστασίες στο web είναι απλές κεφαλίδες απάντησης HTTP, που ορίζονται μία φορά στον διακομιστή. Ο έλεγχος λαμβάνει τις κεφαλίδες απάντησης ενός δημόσιου URL, ακολουθώντας τις ανακατευθύνσεις μέχρι την τελική σελίδα, και τις εξετάζει μία προς μία:

  • Η Strict-Transport-Security κάνει τα προγράμματα περιήγησης να χρησιμοποιούν μόνο HTTPS.
  • Η Content-Security-Policy περιορίζει από πού μπορούν να φορτωθούν scripts και άλλοι πόροι και, με το frame-ancestors, ποιος μπορεί να ενσωματώσει τη σελίδα σε πλαίσιο.
  • Η X-Content-Type-Options: nosniff εμποδίζει τα προγράμματα περιήγησης να μαντεύουν τύπους αρχείων.
  • Η Referrer-Policy ελέγχει πόσο από το URL μεταβιβάζεται σε άλλους ιστοτόπους.
  • Η Permissions-Policy απενεργοποιεί λειτουργίες του προγράμματος περιήγησης που δεν χρησιμοποιεί ο ιστότοπος.
  • Η Cross-Origin-Opener-Policy απομονώνει τη σελίδα από τα παράθυρα που ανοίγει.

Επισημαίνει επίσης εκδόσεις λογισμικού που αποκαλύπτονται στις κεφαλίδες Server ή X-Powered-By. Το αποτέλεσμα είναι λίστα ελέγχου, όχι βαθμολογία ασφάλειας: οι κεφαλίδες είναι ένα επίπεδο ανάμεσα σε πολλά.

Συχνές ερωτήσεις

Γιατί ένα HSTS μικρότερο από έξι μήνες θεωρείται αδύναμο;

Τα προγράμματα περιήγησης θυμούνται την απαίτηση HTTPS μόνο για max-age δευτερόλεπτα. Η συνήθης σύσταση είναι έξι μήνες έως ένας χρόνος, που απαιτείται και για τις λίστες preload των προγραμμάτων περιήγησης.

Χρειάζεται ακόμη η X-Frame-Options;

Η οδηγία frame-ancestors της CSP την αντικαθιστά στα σύγχρονα προγράμματα περιήγησης. Οποιαδήποτε από τις δύο μετράει εδώ ως προστασία πλαισίων.

Στέλνει το εργαλείο κάτι πέρα από ένα κανονικό αίτημα;

Όχι. Στέλνει ένα συνηθισμένο αίτημα GET ανά βήμα ανακατεύθυνσης, διαβάζει μόνο τις κεφαλίδες και κλείνει τη σύνδεση.

Σχετικά