Softonic

Trình kiểm tra header bảo mật HTTP

Kiểm tra các header phản hồi HTTP đã sao chép mà không gửi chúng tới dịch vụ quét. Phân tích chạy trong trình duyệt, đánh giá tám nhóm cấu hình và phân biệt header bị thiếu với giá trị yếu. Công cụ không mở URL, không đọc nội dung phản hồi và không chứng minh rằng trang web an toàn.

Cách kiểm tra header bảo mật của trang web

  1. 1

    Ghi lại phản hồi cuối

    Theo các lần chuyển hướng bằng công cụ trình duyệt hoặc HTTP client đáng tin cậy, rồi sao chép header của phản hồi cuối.

  2. 2

    Dán khối header

    Mỗi dòng dùng một cặp Tên: giá trị. Dòng trạng thái HTTP được chấp nhận nhưng không được phân tích.

  3. 3

    Đọc các kiểm tra theo ngữ nghĩa

    Trạng thái đạt, cần xem lại và thiếu dựa trên giá trị được nhận dạng chứ không chỉ dựa trên tên.

  4. 4

    Kiểm thử thay đổi trong bối cảnh thực

    Triển khai thận trọng và thử lại trang thật vì CSP, COEP và Permissions-Policy có thể chặn tính năng cần thiết.

Ý nghĩa và giới hạn của điểm cục bộ

Điểm này là danh sách kiểm tra cấu hình, không phải quét lỗ hổng hay chứng nhận bảo mật. Giá trị mạnh được nhận diện có 2 điểm, giá trị cần xem lại có 1 điểm, còn kiểm soát thiếu hoặc không hợp lệ có 0 điểm.

Các phần được kiểm tra

Phần Tín hiệu được xem là mạnh Giới hạn quan trọng
HSTS max-age dương ít nhất 180 ngày cùng includeSubDomains Chỉ gửi qua HTTPS và xác minh mọi tên miền con
CSP Chính sách thực thi hạn chế nguồn script mà không có *, 'unsafe-inline', 'unsafe-eval' CSP phụ thuộc ứng dụng và phải được thử trên trang thật
Nhúng frame CSP frame-ancestors, hoặc X-Frame-Options: DENY/SAMEORIGIN kiểu cũ Trình duyệt hỗ trợ sẽ ưu tiên frame-ancestors
MIME X-Content-Type-Options: nosniff Máy chủ vẫn phải gửi Content-Type chính xác
Referrer Chính sách như strict-origin-when-cross-origin hoặc no-referrer Chọn theo nhu cầu phân tích và riêng tư
Tính năng trình duyệt Permissions-Policy đóng ít nhất một tính năng bằng feature=() và không có wildcard Công cụ không thể xác nhận mọi allowlist đều phù hợp
Cô lập khác origin COOP: same-origin và giá trị COEP được nhận diện Có thể làm hỏng popup hoặc tài nguyên ngoài origin

X-XSS-Protection cũ không được tính điểm; giá trị khác 0 chỉ hiện dưới dạng lưu ý. Server và X-Powered-By cũng chỉ là lưu ý tiết lộ thông tin, không phải bằng chứng về lỗ hổng.

Quy tắc kỹ thuật dựa trên OWASP HTTP Headers Cheat Sheet, W3C CSP Level 3 và RFC 6797. Khối đã dán không cho biết header có đến qua HTTPS hay không, chứng chỉ có hợp lệ không, chuyển hướng có đổi chính sách không, hoặc trình duyệt có nhận phản hồi cache khác không.

Quyền riêng tư và lưu trữ theo bước

Việc phân tích và chấm điểm diễn ra trong trình duyệt này. Header thô không trở thành thuộc tính máy chủ của chúng tôi và không vào URL. Ở chế độ từng bước, mã ngẫu nhiên trỏ đến bản ghi sessionStorage hết hạn cố định 30 phút sau khi tạo; mở lại không gia hạn. Chỉ giữ tối đa ba bản ghi hiện hành. Nếu lưu trữ thất bại, luồng dừng mà không gửi dữ liệu đi nơi khác.

Câu hỏi thường gặp

Chỉ hiện diện là chưa đủ. Ví dụ, max-age=0 tắt HSTS và X-Content-Type-Options chỉ nhận giá trị nosniff.

Bộ lọc trình duyệt này đã lỗi thời và có thể gây vấn đề. Hướng dẫn hiện đại khuyên dùng CSP được thiết kế tốt, đồng thời thường bỏ header này hoặc đặt bằng 0.

Không. Phân tích chỉ diễn ra trong trình duyệt. Ở chế độ từng bước, khối dữ liệu được lưu tạm trong sessionStorage bằng mã định danh mờ với thời hạn cố định tối đa 30 phút.

Không mặc định. Cô lập khác origin mở một số khả năng nhưng có thể chặn tích hợp, popup hoặc tài nguyên. Hãy xem yêu cầu ứng dụng trước khi triển khai.

Không. Công cụ không liên hệ với trang web. Hãy sao chép header phản hồi cuối từ công cụ trình duyệt hoặc HTTP client đáng tin cậy.

Không. Điểm chỉ bao quát danh sách header giới hạn, không kiểm tra ứng dụng, TLS, xác thực hay dependency.

Content-Security-Policy-Report-Only thu thập báo cáo nhưng không áp dụng hạn chế. Nó hữu ích khi triển khai, nhưng không tự tạo ra biện pháp bảo vệ chủ động.

frame-ancestors là cơ chế hiện đại và được ưu tiên trong trình duyệt hỗ trợ. X-Frame-Options có thể giữ lại cho client cũ.

Công cụ liên quan

Trình tạo thẻ chuẩn

Tạo thẻ liên kết rel=canonical hợp lệ. Bao gồm tiêu đề Liên kết HTTP tương đương và các lỗi phổ biến cần tránh.

Trình kiểm tra liên kết hỏng

Crawl một trang đơn lẻ (hoặc sitemap nhỏ) và đánh dấu mọi link hỏng theo HTTP status. Kiểm tra nhanh kèm phát hiện chuỗi redirect.

Trình kiểm tra URL chuẩn

Kiểm tra URL chuẩn mà Google thấy cho bất kỳ trang nào. Phát hiện thẻ liên kết HTML, tiêu đề Liên kết HTTP, xung đột và chuỗi chuyển hướng.

Công cụ phân tích anchor text backlink

Dán backlink, dòng CSV, cặp URL | anchor hoặc dòng anchor text để đếm phần lặp lại và xuất CSV Anchor Text,Count,Share.

Bộ đếm tần suất từ

Tìm các từ xuất hiện lặp lại nhiều nhất trong văn bản, kèm số lần và phần trăm mật độ. Hữu ích cho biên tập, kiểm tra SEO và audit nội dung.

Trình tạo schema breadcrumb

Tạo BreadcrumbList JSON-LD hợp lệ cho mọi hệ phân cấp trang. Xuất markup schema.org sẵn sàng dán vào phần head của trang web.