أدوات الخصوصية المجانيةمدقق رؤوس الأمان
تحقق من رؤوس أمان HTTP لأي موقع مع شروحات بلغة بسيطة. مجاني.
كيفية الاستخدام
- أدخل رابط موقع (مثل example.com) — فكل من http:// وhttps:// يعمل.
- انقر على فحص الترويسات — فنجلب ترويسات استجابة الموقع لك.
- الأخضر يعني أن الترويسة موجودة ومكونة جيدًا؛ والأحمر يعني أنها مفقودة أو ضعيفة.
- وسّع كل نتيجة لقراءة ما تفعله الترويسة وكيف تضيفها على خادمك.
الأسئلة الشائعة
هل هي مجانية فعلًا؟
نعم — كل أداة على هذا الموقع مجانية 100% دون حدود ودون تسجيل ودون علامات مائية.
لماذا لا يمكن فحص بعض المواقع؟
تحظر بعض المواقع فحوصات الترويسات عبر المصادر. ولمسح أعمق، جرّب securityheaders.com أيضًا.
لماذا لا يمكن فحص بعض المواقع؟
تحظر بعض المواقع قراءات الترويسات عبر المصادر أو تتطلب عرض JavaScript أو تقع خلف حماية روبوتات قوية. وقد ترفض المواقع المؤسسية الكبيرة جدًا وتلك ذات سياسات CORS الصارمة الفحص — حاول مجددًا لاحقًا أو اختبر نسخة مرحلية.
ما أهم ترويسة واحدة؟
Strict-Transport-Security (HSTS). فهي تجبر المتصفحات على استخدام HTTPS دائمًا، قاضية على هجمات تجريد SSL. سطر واحد وحماية هائلة — لكن اختبر بعناية، لأن HSTS المكونة خطأ قد تقفل الزوار خارجًا.
هل إضافة الترويسات ستكسر موقعي؟
نادرًا، لكن Content-Security-Policy هي الاستثناء — فسياسة CSP شديدة الصرامة تحظر نصوصك وخطوطك أو تضميناتك الخاصة. انشر الترويسات الجديدة في وضع الإبلاغ فقط أولًا وراقب وحدة التحكم ثم افرض.
هل تستبدل هذه الترويسات WAF أو التحديثات؟
لا. فالترويسات طبقة واحدة من الدفاع المتعمق. وهي لا ترقّع البرمجيات الضعيفة ولا توقف DDoS ولا تستبدل جدار حماية تطبيقات الويب — بل تقوّي سلوك المتصفح عند زيارة موقعك المؤمن أصلًا.
مدقق ترويسات الأمان — الدليل الكامل
ترويسات أمان HTTP هي تعليمات غير مرئية يرسلها خادمك مع كل صفحة، تخبر المتصفحات كيف تتصرف: فرض HTTPS وحظر الاستيلاء على النقر وإيقاف استنشاق MIME ووضع نصوص في بيئة معزولة. وتفتقد معظم المواقع عدة منها. ويقيّم مدقق ترويسات الأمان هذا أي رابط في ثوانٍ ويشرح كل نتيجة.
الترويسات الأساسية
- Strict-Transport-Security (HSTS): تفرض HTTPS على كل الزيارات المستقبلية. أدرج النطاقات الفرعية والتحميل المسبق لأقصى تأثير.
- Content-Security-Policy (CSP): تدرج في قائمة بيضاء مصادر تحميل النصوص والأنماط والصور — وهي أقوى دفاع ضد XSS متاح.
- X-Frame-Options / frame-ancestors: تمنع مواقع أخرى من تضمين صفحاتك في إطارات غير مرئية (الاستيلاء على النقر).
- X-Content-Type-Options:
nosniffيمنع المتصفحات من إساءة تفسير أنواع الملفات. - Referrer-Policy: تتحكم في مقدار رابطك المتسرب إلى مواقع أخرى عبر ترويسة Referer.
- Permissions-Policy: تعطل ميزات المتصفح (الكاميرا والميكروفون وتحديد الموقع الجغرافي) التي لا يحتاجها موقعك.
كيف تقرأ درجتك
الأخضر يعني موجودًا ومكونًا بشكل صحيح. والأحمر يعني مفقودًا — فكل صف أحمر مهمة تقوية ملموسة لا نصيحة مجردة. والكهرماني أو التحذيرات تعني عادة أن الترويسة موجودة لكن بقيمة ضعيفة (مثل عمر HSTS أقصى قصير). أصلح الأحمر أولًا ثم اضبط الكهرماني.
نصائح النشر
- ابدأ بالمكاسب السهلة: HSTS وX-Content-Type-Options وReferrer-Policy أسطر واحدة بمخاطر كسر شبه معدومة.
- CSP تحتاج إلى مرحلية: ابنِ سياستك باستخدام
Content-Security-Policy-Report-Onlyأولًا واجمع تقارير الانتهاكات ثم افرض. - إعداد الخادم لا الشيفرة: اضبط الترويسات في Nginx/Apache/Cloudflare مرة واحدة وستنطبق على الموقع كله — أنظف من وسوم meta لكل صفحة.
- أعد الفحص بعد التغييرات: شغّل هذه الأداة مجددًا بعد كل نشر للتأكد من أن الترويسات شُحنت فعلًا.
أبعد من الترويسات
تكمل الترويسات — لا تستبدل أبدًا — الترقيع وجدران حماية تطبيقات الويب والترميز الآمن. فكّر فيها كأحزمة أمان: أساسية، لكنك ما زلت تحتاج إلى مكابح. اقرن تقرير ترويسات نظيفًا بـ HTTPS في كل مكان وبرمجيات محدثة ونسخ احتياطية منتظمة لموقع مقوّى حقًا.
سياق التقييم
الترويسة المفقودة ليست ثغرة بحد ذاتها — بل حزام أمان مفقود. ويعتمد خطرك على ما يفعله موقعك: فمدونة ثابتة تحتاج إلى ترويسات أقل من تطبيق مصرفي يتعامل مع جلسات ومدفوعات. أعطِ الأولوية بناءً على نموذج تهديدك، لكن عامل HSTS وX-Content-Type-Options كعالميتين.
استمر في التحسين
أعد تشغيل هذا الفحص بعد كل نشر رئيسي وربع سنوي كنظافة روتينية. فقد تختفي الترويسات بصمت أثناء عمليات الترحيل أو تغييرات CDN أو ترقيات أطر العمل — وفحص لدقيقتين يلتقط التراجعات قبل المهاجمين.