HTTP безопасность

Аудит заголовков безопасности HTTP веб-сервера

Проверьте конфигурацию заголовков HSTS, CSP, X-Frame-Options и защитите сайт от XSS и кликджекинга.

Выполняет сетевой запрос и анализирует HTTP-заголовки безопасности сервера.

Заголовки считываются из реального HTTP-ответа вашего веб-сервера.

Подробное руководство по теме Заголовки безопасности HTTP: настройка на практике Как защитить сайт от XSS, кликджекинга и перехвата сессий с помощью правильной настройки заголовков CSP, HSTS и Permissions-Policy. Читать руководство · 1 мин чтения →

Что проверяет этот инструмент

Анализ 8 ключевых заголовков защиты от XSS, кликджекинга и перехвата трафика.

  • Strict-Transport-Security

    Защита HTTPS и срок действия max-age с includeSubDomains

  • Content-Security-Policy

    Ограничение источников скриптов, стилей и фреймов

  • X-Frame-Options

    Защита пользователей сайта от атак кликджекинга

  • X-Content-Type-Options

    Предотвращение сниффинга MIME-типов браузером (nosniff)

  • Политика Referrer-Policy

    Передача параметров URL при внешних переходах (рекомендуется strict-origin-when-cross-origin).

  • Политика Permissions-Policy

    Ограничение доступа страницы к камере, микрофону и геолокации устройства.

  • Раскрытие версий ПО (Server Disclosure)

    Скрытие заголовков Server и X-Powered-By для защиты от целевых атак по уязвимостям версий.

  • Устаревшие заголовки

    Заголовок X-XSS-Protection устарел и должен быть отключен в пользу CSP.

Техническое руководство и лучшие практики

Начните с трех базовых заголовков: включите HSTS, X-Content-Type-Options: nosniff и X-Frame-Options: DENY — они настраиваются за пару минут и не ломают функционал.

Внедряйте CSP поэтапно: сначала включите режим Content-Security-Policy-Report-Only, соберите отчеты о внешних скриптах за 2 недели и только затем активируйте блокировку.

Заголовок Referrer-Policy со значением strict-origin-when-cross-origin защитит конфиденциальные параметры URL при внешних переходах.

Отключите заголовки раскрытия версий Server и X-Powered-By в конфигурации сервера для защиты от целевых атак.

Регулярно сканируйте заголовки после каждого обновления серверного ПО или CDN-прокси.

Назначение ключевых заголовков безопасности

Strict-Transport-Security (HSTS)

Указывает браузеру подключаться к домену исключительно по защищенному протоколу HTTPS в течение заданного срока, защищая от перехвата трафика.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Начните с небольшого значения max-age, пока проверяете работу всех поддоменов. Установив один год с параметром includeSubDomains, браузеры будут блокировать любой незащищенный HTTP-трафик.

Content-Security-Policy (CSP)

Самый мощный заголовок безопасности. Он строго определяет разрешенные источники скриптов, стилей, изображений и подключений, предотвращая XSS-атаки.

Строгий CSP блокирует встроенные инлайн-скрипты. Рекомендуется сначала запустить политику в режиме report-only, собрать отчеты о нарушениях и затем включить блокировку.

X-Frame-Options

Запрещает встраивание ваших страниц во фреймы на сторонних сайтах, защищая пользователей от атак кликджекинга (clickjacking).

Директива frame-ancestors в CSP заменяет этот заголовок, но отправка обоих обеспечивает совместимость со старыми браузерами.

X-Content-Type-Options: nosniff

Предотвращает определение MIME-типа файлов браузером вопреки заголовкам сервера, защищая от исполнения загруженных файлов как скриптов.

Referrer-Policy

Определяет, какая часть URL передается при переходе по внешней ссылке. Значение strict-origin-when-cross-origin является безопасным стандартом.

Permissions-Policy

Ограничивает доступ страницы к функциям устройства: камере, микрофону, геолокации и платежным API.

Заголовки, которые нужно отключить

Заголовок X-XSS-Protection устарел и удален из современных браузеров из-за собственных уязвимостей.

Заголовки Server и X-Powered-By раскрывают версии вашего ПО потенциальным злоумышленникам. Скройте их в конфигурации сервера.

Часто задаваемые вопросы

Как часто нужно проводить данную проверку?

Рекомендуется выполнять проверку перед каждым крупным релизом сайта, сменой хостинга или подключением новых доменов.

Сохраняются ли проверяемые домены на ваших серверах?

Нет, все запросы обрабатываются в режиме реального времени и мы не сохраняем историю проверок или доменные имена.

Как исправить обнаруженные ошибки?

Следуйте рекомендациям из отчета или обратитесь к нашей команде разработчиков за профессиональной помощью.

Как настроить заголовки на shared-хостинге?

Через файл .htaccess на серверах Apache или LiteSpeed, добавив директивы в блок <IfModule mod_headers.c>, либо через правила Nginx и Cloudflare Transform Rules.

Другие бесплатные инструменты

Расскажите, каких показателей вы хотите достичь.

Одна команда. Три офиса. Где бы вы ни были, вы получаете ответ от старшего специалиста — а не скрипт продаж.

Получить предложение → Написать нам сейчас

Письменное коммерческое предложение в течение одного рабочего дня на вашем языке.