Перевірка заголовків безпеки сайту
Онлайн аналізатор HTTP заголовків безпеки сайту від SiteHub перевіряє наявність та коректність налаштування Content-Security-Policy, Strict-Transport-Security (HSTS), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy та інших заголовків, що впливають на захищеність сайту від XSS, clickjacking та інших поширених атак. За результатами перевірки сайт отримує оцінку від A+ до F.
Шкала оцінювання
Оцінка розраховується на основі наявності та коректності налаштування заголовків безпеки у відповіді сервера. Це евристична оцінка для орієнтовної самоперевірки, а не офіційний сертифікат безпеки.
Які заголовки перевіряються
| Заголовок | Призначення |
|---|---|
Content-Security-Policy | Обмежує джерела, з яких браузер може завантажувати скрипти, стилі, зображення тощо. Головний захист від XSS. |
Strict-Transport-Security | Змушує браузер завжди звертатись до сайту лише через HTTPS. |
X-Frame-Options | Забороняє вбудовування сторінки в <iframe> на сторонніх сайтах (захист від clickjacking). |
X-Content-Type-Options | Забороняє браузеру самостійно "вгадувати" MIME-тип файлу. |
Referrer-Policy | Визначає, яку інформацію про сторінку-джерело браузер передає при переходах за посиланнями. |
Permissions-Policy | Керує доступом сайту до API браузера: камера, мікрофон, геолокація тощо. |
Cross-Origin-Opener | Додаткові заголовки ізоляції походження, що посилюють захист від атак на кшталт Spectre. |
HTTP заголовки безпеки (Security HTTP Headers) — це інструкції, які веб-сервер передає браузеру разом із відповіддю на запит, і які вказують браузеру, як безпечно обробляти вміст сторінки. Правильно налаштовані заголовки суттєво знижують ризик успішної експлуатації вразливостей типу XSS (міжсайтовий скриптинг), clickjacking (підміна кліків через невидимий iframe), MIME-sniffing та витоку конфіденційних даних через referrer.
Перевірка заголовків безпеки корисна власникам сайтів, розробникам та SEO-фахівцям: наявність HSTS та коректного CSP позитивно впливає на довіру пошукових систем та браузерів до сайту, а їх відсутність може бути позначена як вразливість під час аудитів безпеки чи PCI DSS сертифікації.
Онлайн-інструменти SiteHub
Безкоштовні утиліти для власників сайтів, SEO-спеціалістів і адміністраторів доменів.