Squish & Co. — reparto diagnostica
Controllo header di sicurezza
Controlla i sei header HTTP di sicurezza che contano e ottieni un voto in base a se ciascuno sta davvero facendo il suo lavoro, non solo se è stato inviato. Uno strumento offerto da Squish, senza registrazione.
Prova , , Senza registrazione
I risultati compaiono qui. Scrivi un dominio per iniziare.
Cosa fanno davvero gli header di sicurezza
Gli header di sicurezza sono istruzioni che il tuo server invia insieme a ogni pagina per dire al browser cosa permettere. HSTS rifiuta l'HTTP in chiaro. Content-Security-Policy limita da dove possono caricarsi gli script. X-Frame-Options impedisce che la tua pagina venga caricata dentro il frame invisibile di qualcun altro. Non costano nulla da impostare e chiudono intere categorie di attacco, ma solo quando il valore porta una restrizione reale: per questo qui si valuta cosa fa ciascun header e non se è stato inviato.
Domande frequenti
Quali header controllate?
Sei, pesati in base a quanto contano: HSTS e Content-Security-Policy 25 punti ciascuno, X-Frame-Options e X-Content-Type-Options 15, Referrer-Policy e Permissions-Policy 10. Fanno 100 punti, e il voto segue il punteggio.
Perché ho perso punti su un header che ho impostato?
Perché un header presente non è sempre un header che funziona. content-security-policy: default-src * consente script da qualsiasi host su internet, e x-frame-options: ALLOWALL è un valore che nessun browser rispetta da anni. Entrambi vengono valutati per quello che fanno, quindi entrambi prendono metà punteggio invece che pieno.
Non ho X-Frame-Options e passo lo stesso, perché?
La tua Content Security Policy porta frame-ancestors, che fa lo stesso lavoro e lo sostituisce in ogni browser che implementa entrambi. Impostare anche l'header più vecchio non fa male, ma la sua assenza non è una lacuna.
Questo mi dice se il mio sito è sicuro?
No. Legge gli header di una risposta e valuta quelli. Non cerca malware, non prova il tuo login e non guarda il tuo codice. Un buon voto qui significa che i tuoi header sono impostati bene, nulla di più, e preferiamo dirlo piuttosto che lasciar intendere un via libera che non abbiamo misurato.
Gli header sono lavoro del server, non del sito. Si impostano una volta nella configurazione del server, che è esattamente il livello che l'hosting gestito esiste per toglierti di mano.
Guarda l'hosting Squish →