Kiểm tra Security Headers
Nhập tên miền website của bạn. Chỉ sau vài giây, bạn biết header bảo mật nào đã có, header nào còn thiếu và cách khắc phục.
Chúng tôi kiểm tra những gì
Mười hai điều mà ai cũng có thể thấy từ trang chủ website của bạn. Điểm từ A+ đến F chỉ tính từ sáu header bảo mật.
Kết nối
HTTPS
Không có HTTPS, những gì khách truy cập gửi và đọc có thể bị xem trộm hoặc thay đổi trên đường truyền.
Chuyển hướng HTTP sang HTTPS
Khách gõ địa chỉ không có https:// cần được đưa tới phiên bản an toàn, không dừng lại ở phiên bản thường.
Hạn chứng chỉ
Chứng chỉ hết hạn khiến trình duyệt hiện cảnh báo toàn trang và phần lớn khách sẽ rời đi.
Header bảo mật (quyết định điểm)
Strict-Transport-Security (HSTS)
Yêu cầu trình duyệt luôn dùng HTTPS với website của bạn, kể cả khi ai đó bấm vào liên kết http://.
Content-Security-Policy
Giới hạn những script và tệp mà trang được phép tải, khiến mã bị chèn vào khó chạy hơn nhiều.
X-Frame-Options
Ngăn website khác hiển thị trang của bạn trong khung để lừa khách bấm vào (clickjacking).
X-Content-Type-Options
Ngăn trình duyệt đoán loại tệp rồi chạy một tệp không phải script như script.
Referrer-Policy
Kiểm soát phần địa chỉ trang của bạn được gửi sang website khác khi khách bấm vào liên kết.
Permissions-Policy
Tắt các tính năng trình duyệt mà website không dùng, như camera, micro và vị trí.
Những điều khác khách truy cập có thể thấy
Lộ phiên bản phần mềm
Số phiên bản cho kẻ tấn công biết nên thử những lỗ hổng đã biết nào.
Thiết lập cookie
Cookie thiếu Secure và HttpOnly có thể bị lộ qua kết nối thường hoặc bị script chèn vào đọc được.
Nội dung hỗn hợp (mixed content)
Script, CSS hoặc hình ảnh tải qua http:// làm yếu trang HTTPS, và trình duyệt có thể chặn chúng.