Test nagłówków bezpieczeństwa HTTP

Czym są nagłówki bezpieczeństwa?

Nagłówki HTTP przekazują przeglądarce zasady dotyczące obsługi strony i jej zasobów. Poprawnie dobrane ustawienia pomagają ograniczyć skutki części ataków, wymusić bezpieczne połączenie i kontrolować dostęp do funkcji przeglądarki.

Brak konkretnego nagłówka nie oznacza automatycznie, że strona jest niebezpieczna lub została zainfekowana. Jest jednak sygnałem, że warto zweryfikować konfigurację serwera.

Jakie nagłówki analizuje skaner?

• Content-Security-Policy (CSP) pomaga kontrolować źródła skryptów, stylów i innych zasobów
• Strict-Transport-Security (HSTS) informuje przeglądarkę, że domena powinna być otwierana przez HTTPS
• X-Content-Type-Options ogranicza błędne rozpoznawanie typów plików
• Referrer-Policy określa zakres informacji przekazywanych przy przechodzeniu między stronami
• Permissions-Policy pozwala ograniczyć dostęp witryny do wybranych funkcji przeglądarki

Skaner pokazuje wykryte elementy konfiguracji i uwzględnia je w ocenie bezpieczeństwa strony.

Jeśli chcesz osobno zweryfikować szyfrowanie połączenia, wykonaj również test certyfikatu SSL i HTTPS.

Jak interpretować wynik testu?

Sama obecność wszystkich nagłówków nie gwarantuje pełnego bezpieczeństwa. Ważne są również ich wartości oraz dopasowanie do konkretnej witryny.

Szczególnej ostrożności wymaga Content-Security-Policy. Zbyt restrykcyjna konfiguracja może zablokować potrzebne skrypty, formularze, multimedia albo zewnętrzne usługi.

Zmiany najlepiej najpierw wdrożyć w środowisku testowym, sprawdzić działanie najważniejszych funkcji, a następnie zastosować je na stronie produkcyjnej.

Dla kogo jest test nagłówków HTTP?

Test przydaje się właścicielom stron firmowych, sklepów internetowych, aplikacji webowych oraz witryn opartych o systemy CMS.

Jeżeli korzystasz z WordPressa, możesz również wykonać skan bezpieczeństwa WordPress.

Więcej elementów kontroli opisaliśmy w poradniku jak sprawdzić bezpieczeństwo strony internetowej.

Uruchom skan domeny i sprawdź konfigurację nagłówków swojej strony.

Co sprawdzić dalej?

Nagłówki bezpieczeństwa nie zastępują poprawnie działającego HTTPS. Jeśli nie masz pewności, czy połączenie jest skonfigurowane prawidłowo, sprawdź certyfikat SSL i HTTPS.

Możesz także przejść przez pełną checklistę bezpieczeństwa strony lub wykonać test bezpieczeństwa WordPressa.