Проверка заголовков безопасности сайта
Узнайте, просит ли ваш сайт браузеры открывать его только с шифрованием и можно ли показать его внутри чужой страницы.
Бесплатно и без регистрации. Проверяем сайт целиком — нужное будет в отчёте среди остального.
Что покажет проверка
- Только с шифрованием
- Сообщает ли сайт браузерам, что открывать его нужно только по защищённому адресу (HSTS).
- Показ в чужой странице
- Запрещает ли сайт встраивать себя в чужие страницы (X-Frame-Options или frame-ancestors).
- Остальные заголовки
- Политика содержимого (CSP), nosniff, Referrer-Policy и флаги cookie сессии — в блоке «Для специалиста». На оценку они не влияют.
Что такое заголовки безопасности простыми словами
Вместе со страницей сайт передаёт браузеру несколько служебных строк — заголовков. Часть из них — указания, как обращаться с сайтом осторожнее: открывать только с шифрованием, не показывать внутри чужих страниц.
Без них сайт работает как обычно, и посетитель ничего не замечает. Разница видна, только когда этим пытаются воспользоваться: перехватить первый запрос в чужой сети или подложить сайт под чужую кнопку.
Мы оцениваем два указания, у которых есть понятное последствие. Остальные читаем и показываем специалисту, но проблемой не называем: их нет у большинства сайтов.
Вопросы
Сайт сделан на конструкторе. Что мне делать?
Ничего: на Tilda, Wix и других конструкторах эти настройки задаёт сам сервис. Отчёт так и скажет и проблемой это не назовёт.
Не сломают ли заголовки сайт?
HSTS — только если часть страниц ещё открывается без шифрования. Запрет показа во фрейме — если сайт показывают внутри других страниц, например в Вебвизоре Яндекс Метрики: для них в правило добавляют исключение.
Почему отсутствие CSP — не проблема?
Политику содержимого настраивают под конкретный сайт: поспешная настройка ломает страницы, а её отсутствия владелец никак не ощущает. Мы показываем, есть ли она, но в проблемы не записываем.