Prüfen Sie, ob eine Website die HTTP-Sicherheits-Header sendet, die Benutzer vor XSS-, Clickjacking- und Protokoll-Downgrade-Angriffen schützen.
HTTP-Sicherheits-Header sind die günstigste und effektivste Verteidigung einer Website: Ein einziger Antwort-Header kann Clickjacking blockieren, HTTPS für ein Jahr erzwingen oder eine ganze Klasse von XSS-Angriffen unterbinden. Dieser Scanner ruft jede URL ab, liest die von Ihrem Server zurückgegebenen Header und bewertet das Ergebnis im Vergleich zum modernen Standard – HSTS, CSP, X-Frame-Options, COOP, COEP, CORP, Referrer-Policy und Permissions-Policy – mit A–F.
Jede Produktionsseite sollte mindestens B erreichen. Das Anstreben von A erfordert eine echte Content-Security-Policy, was eine bewusste Entwicklung voraussetzt – aber es ist die effektivste verfügbare XSS-Minderung.
Ja, auf älteren Websites. Beginnen Sie im Content-Security-Policy-Report-Only-Modus, überwachen Sie Verstöße und stufen Sie dann auf Durchsetzung hoch, sobald Ihre Inline-Skripte und Drittanbieter inventarisiert sind.
Es ist veraltet und aus modernen Browsern entfernt worden. CSP ersetzt es. Halten Sie Ihre Header kurz und prägnant.
Ja. Wir bewerten die endgültige Antwort, sodass eine Domäne, die von HTTP auf HTTPS weiterleitet, anhand der HTTPS-Antwort bewertet wird, welche für die Benutzer relevant ist.