نحوه بررسی هدرهای امنیتی وب سایت به صورت آنلاین و رایگان (راهنمای 2026)

وقتی مرورگر شما یک وب‌سایت را بارگذاری می‌کند، صفحه‌ای که می‌بینید تنها نیمی از ماجرا است. سرور در پس‌زمینه هدرهای امنیتی HTTP همچنین ارسال می‌کند - دستورالعمل‌های نامرئی که به مرورگر می‌گویند چگونه رفتار کند: فقط از اتصالات رمزگذاری شده استفاده کنید، اجازه ندهید این صفحه از سایت‌های دیگر قاب گرفته شود، منابع اسکریپت غیرمنتظره را مسدود کنید. اینها یکی از ارزان‌ترین و مؤثرترین دفاع‌ها برای صاحب سایت هستند و کاملاً برای بازدیدکنندگان نامرئی هستند. این راهنما نشان می‌دهد که چگونه راهکارهای رایگان ما بررسی سربرگ های امنیتی چگونه هدرهای هر سایتی را بررسی کنیم، هر سرصفحه به زبان اردو ساده به چه معناست و با نتایج چه باید کرد.

سربرگ های امنیتی چیست؟

هر پاسخ وب با هدرهایی همراه است - خطوط کوچک فراداده کلید/مقدار که قبل از محتوای صفحه ارسال می‌شوند. اکثر آنها عمومی هستند (نوع محتوا، ذخیره‌سازی). هدرهای امنیتی زیرمجموعه‌ای هستند که رفتار مرورگر را برای آن سایت کنترل می‌کنند. سخت آیا ارسال آنها هیچ هزینه ای ندارد، نیازی به اقدام کاربر ندارد و طیف وسیعی از حملات را کاهش می دهد: استراق سمع، جک کلیک، اسکریپت بین سایتی و سردرگمی نوع محتوا. سایتی که هدرهایش را از دست داده است لزوماً "هک" نمی شود - اما از محافظت رایگان استفاده نمی کند.

مرحله 1: آدرس وب‌سایت را وارد کنید

بررسی سربرگ های امنیتی آدرس وب سایت را باز کرده و تایپ کنید — به عنوان آزمایش example.com خوب کار می‌کند. می‌توانید هر سایت عمومی را بررسی کنید: سایت خودتان، سایت کارفرمایتان یا سایتی که فقط در موردش کنجکاو هستید. بررسی هدرها یک روش تشخیصی رایج و بی‌ضرر است - شما فقط هدرهای پاسخ عمومی را که هر مرورگری دریافت می‌کند، می‌خوانید.

مرحله 2: چک را اجرا کنید

سربرگ‌ها را بررسی کنید. برای دریافت هدرهای پاسخ سایت و بررسی هدرهای امنیتی مهم، روی این ابزار کلیک کنید. ظرف چند ثانیه، گزارشی از هر هدر دریافت خواهید کرد.

یک هشدار: بعضی از سایت‌ها بررسی هدرهای بین مبدا را مسدود می‌کنند، بنابراین گاهی اوقات نمی‌توان یک سایت را با یک ابزار مبتنی بر مرورگر اسکن کرد. این ابزار به شما می‌گوید که آیا این مورد وجود دارد یا خیر - و برای اسکن عمیق‌تر، می‌توانید سرویس شناخته شده securityheaders.com را نیز امتحان کنید.

مرحله 3: نتایج را بخوانید - سبز به معنی وجود، قرمز به معنی عدم وجود

هر هدر یک تصمیم ساده می‌گیرد: سبز یعنی هدر وجود دارد، سرخ یعنی وجود ندارد. با دیدن رنگ قرمز نگران نشوید - گزارش را به عنوان یک لیست کارها در نظر بگیرید، نه یک هشدار تخلف. در زیر کاری که هر سربرگ واقعاً انجام می‌دهد، آمده است.

سربرگ به سربرگ، به زبان اردو ساده

Strict-Transport-Security (HSTS)

به مرورگر می‌گوید: «فقط از طریق HTTPS با این سایت صحبت کنید، حتی اگر کسی سعی کند اتصال را تضعیف کند.» این کار حملاتی به سبک sslstrip را که سعی می‌کنند بی‌سروصدا رمزگذاری را بشکنند، خنثی می‌کند. هر سایتی که ورود به سیستم یا پرداخت‌ها را مدیریت می‌کند، باید آن را ارسال کند.

Content-Security-Policy (CSP)

یک لیست سفید که مشخص می‌کند یک صفحه کجا می‌تواند اسکریپت‌ها، استایل‌ها و سایر منابع را بارگذاری کند. این قوی‌ترین دفاع موجود در برابر اسکریپت‌نویسی بین سایتی (XSS) است: حتی اگر مهاجمی یک تگ اسکریپت وارد کند، مرورگر از اجرای آن خودداری می‌کند مگر اینکه منبع مجاز باشد. همچنین تنظیم صحیح این هدر دشوارترین است، به همین دلیل است که بسیاری از سایت‌ها آن را ندارند.

X-Frame-Options

کنترل می کند که آیا صفحه می تواند در یک قاب یا iframe در سایت دیگری جاسازی شود یا خیر. DENY یا SAMEORIGIN با روشن شدن کلیک جک توقف‌ها - حملاتی که یک صفحه مخرب نامرئی را در بالا (یا پایین) یک صفحه قانونی قرار می‌دهند تا کلیک‌ها را بدزدند. (سایت‌های مدرن به جای آن از CSP استفاده می‌کنند.) frame-ancestors می‌توانید از دستورالعملی که جایگزین آن شده است استفاده کنید.)

X-Content-Type-Options

ارزش nosniff با استفاده از ، مرورگرها نمی‌توانند نوع محتوای اعلام‌شده‌ی فایل را حدس بزنند. بدون آن، مرورگر می‌تواند فایل آپلود شده را "بو" کند، تصمیم بگیرد که در واقع HTML/JavaScript است و آن را اجرا کند - یک مسیر کلاسیک برای حملات از طریق آپلود فایل.

Referrer-Policy

کنترل می‌کند که چه مقدار از URL یک صفحه هنگام حذف شدن به عنوان ارجاع‌دهنده HTTP ارسال شود. یک سیاست سختگیرانه (مانند strict-origin-when-cross-origin یا no-referrer) از افشای URL های داخلی، نشانه های جلسه در رشته های پرس و جو یا مسیرهای خصوصی به سایت های شخص ثالث جلوگیری می کند.

اگر این سایت شماست: با هدرهای از دست رفته چه باید کرد؟

1. HSTS و X-Content-Type-Options را ترجیح دهید — اینها افزونه‌های تک‌خطی هستند که تقریباً به هر سرور و چارچوب وب اضافه می‌شوند.
2. گزینه‌های X-Frame را اضافه کنید (یا CSP frame-ancestors) مگر اینکه دلیل خاصی برای اجازه کادربندی داشته باشید.
3. سیاست امنیت محتوای خود را با دقت برنامه‌ریزی کنید. با یک سیاست گزارش‌دهی شروع کنید تا ببینید صفحات شما به طور قانونی چه چیزی را بارگذاری می‌کنند، سپس آن را اجرا کنید. یک CSP با پیکربندی نادرست، بدیهی است که سایت شما را خراب می‌کند، بنابراین ابتدا آن را در مرحله‌بندی آزمایش کنید.
4. اسکن مجدد پس از هر تغییر برای بررسی اینکه آیا هدرها واقعا ارسال می شوند.

هدرها در سطح سرور یا برنامه (پیکربندی وب سرور، میان‌افزار چارچوب یا نقش‌های لبه CDN) تنظیم می‌شوند - مراحل دقیق به پشته شما بستگی دارد، اما هر پلتفرم اصلی آنها را مستند می‌کند.

اگر سایت شخص دیگری است: چگونه رنگ قرمز را بفهمیم

نبود هدر در سایتی که فقط از آن بازدید می‌کنید، ارزش توجه کردن دارد، نه اینکه نگران شوید. هدرهای امنیتی، دفاع در عمق هستند: نبود آنها به این معنی نیست که سایت به خطر افتاده یا داده‌های شما در آنجا در معرض خطر قرار گرفته است. این بدان معناست که گردانندگان سایت لایه‌ای از محافظت رایگان را فعال نکرده‌اند. برای سایت‌هایی که اطلاعات حساس را وارد می‌کنید، ممکن است منطقاً رقبایی را ترجیح دهید که تقلب را جدی می‌گیرند - اما یک ردیف قرمز را به عنوان مدرکی دال بر تخلف در نظر نگیرید.

آنچه بررسی‌های هدر نمی‌توانند بگویند

صداقت در اینجا نیز مهم است. اسکن هدر ترتیب چک‌ها، نقاط ضعف خیر: نمی‌تواند تزریق SQL، احراز هویت ناقص، اسرار فاش شده یا نرم‌افزار قدیمی را پیدا کند. یک سایت می‌تواند در هدرها امتیاز کامل کسب کند و همچنان از پایه آسیب‌پذیر باشد - و سایتی که چند هدر ندارد، به هر حال می‌تواند به خوبی مهندسی شده باشد. به آن مانند بررسی وجود قفل‌های امنیتی در یک خانه فکر کنید: اطلاعات مفید، نه یک ممیزی امنیتی کامل.

سوالات عمومی

آیا بررسی هدرهای وب‌سایت قانونی است؟

بله. شما در حال درخواست صفحه اصلی عمومی سایت هستید و فراداده پاسخ استانداردی را که هر مرورگری دریافت می‌کند، می‌خوانید. این همان نوع فعالیتی است که با مشاهده منبع صفحه انجام می‌شود.

چرا بعضی سایت‌ها قابل بررسی نیستند؟

برخی سایت‌ها درخواست‌های بین‌مرجعی را مسدود می‌کنند که مانع از خواندن هدرهای آنها توسط ابزارهای مبتنی بر مرورگر می‌شود. برای این موارد، معمولاً یک اسکنر سمت سرور مانند securityheaders.com کار می‌کند.

آیا هدرهای امنیتی یک وب سایت را کند می کنند؟

هیچ تأثیر قابل اندازه‌گیری وجود ندارد - اینها چند بایت اضافی در پاسخ هستند. هیچ دلیل عملکردی برای حذف آنها وجود ندارد.

آیا اضافه کردن هدرها سایت من را خراب می‌کند؟

اضافه کردن مستقیم اکثر هدرها بی‌خطر است. سیاست امنیتی محتوا (Content-Security-Policy) یک استثنا است: ابتدا آن را در حالت فقط گزارش آزمایش کنید، زیرا یک سیاست خیلی سختگیرانه، اسکریپت‌های قانونی را مسدود کرده و عملکرد را مختل می‌کند.

اکنون یک سایت را حسابرسی کنید: رایگان بررسی سربرگ های امنیتی · رایگان جستجوی IP · رایگان بررسی پیوند فیشینگ