मुफ़्त प्राइवेसी टूल्ससुरक्षा हेडर चेकर
किसी भी साइट के HTTP सुरक्षा हेडर सरल भाषा में समझाएँ के साथ जाँचें। मुफ़्त।
कैसे इस्तेमाल करें
- वेबसाइट URL डालें (जैसे example.com) — http:// और https:// दोनों चलते हैं।
- हेडर जाँचें पर क्लिक करें — हम आपके लिए साइट के रिस्पॉन्स हेडर लाते हैं।
- हरा मतलब हेडर मौजूद है और सही सेट है; लाल मतलब वह गायब है या कमज़ोर है।
- हर नतीजे को खोलकर पढ़ें कि वह हेडर क्या करता है और अपने सर्वर पर उसे कैसे जोड़ें।
अक्सर पूछे जाने वाले प्रश्न
क्या यह वाकई मुफ़्त है?
हाँ — इस साइट का हर टूल बिना किसी सीमा, बिना साइनअप और बिना वॉटरमार्क के 100% मुफ़्त है।
कुछ साइटें क्यों नहीं जाँची जा सकतीं?
कुछ साइटें क्रॉस-ऑरिजिन हेडर जाँच रोक देती हैं। गहरी जाँच के लिए securityheaders.com भी आज़माएँ।
कुछ साइटें क्यों नहीं जाँची जा सकतीं?
कुछ साइटें क्रॉस-ऑरिजिन हेडर पढ़ना रोक देती हैं, JavaScript रेंडरिंग माँगती हैं, या मज़बूत बॉट सुरक्षा के पीछे होती हैं। बहुत बड़ी कॉर्पोरेट साइटें और सख़्त CORS नीति वाली साइटें जाँच से इनकार कर सकती हैं — बाद में फिर कोशिश करें या स्टेजिंग कॉपी जाँचें।
सबसे ज़रूरी एक हेडर कौन सा है?
Strict-Transport-Security (HSTS)। यह ब्राउज़र को हमेशा HTTPS इस्तेमाल करने पर मजबूर करता है, जिससे SSL-स्ट्रिपिंग हमले खत्म हो जाते हैं। एक पंक्ति, बहुत बड़ी सुरक्षा — लेकिन सावधानी से जाँचें, क्योंकि गलत सेट HSTS विज़िटरों को बाहर कर सकता है।
क्या हेडर जोड़ने से मेरी साइट टूट जाएगी?
शायद ही कभी, लेकिन Content-Security-Policy अपवाद है — बहुत सख़्त CSP आपकी अपनी स्क्रिप्ट, फ़ॉन्ट या एम्बेड रोक देता है। नए हेडर पहले सिर्फ़ रिपोर्ट मोड में लगाएँ, कंसोल देखें, फिर लागू करें।
क्या ये हेडर WAF या अपडेट की जगह ले लेते हैं?
नहीं। हेडर डिफ़ेंस-इन-डेप्थ की एक परत हैं। वे कमज़ोर सॉफ़्टवेयर को पैच नहीं करते, DDoS नहीं रोकते और वेब एप्लिकेशन फ़ायरवॉल की जगह नहीं लेते — वे आपकी पहले से सुरक्षित साइट पर जाने पर ब्राउज़र के व्यवहार को मज़बूत करते हैं।
सुरक्षा हेडर चेकर — पूरी गाइड
HTTP सुरक्षा हेडर वे निर्देश हैं जो आपकी साइट ब्राउज़र को देती है: सिर्फ़ HTTPS इस्तेमाल करो, किसी iframe में मत दिखाओ, सिर्फ़ भरोसेमंद स्क्रिप्ट चलाओ। वे मुफ़्त हैं, लगाने में आसान हैं, और कई आम हमलों को रोकते हैं — फिर भी ज़्यादातर साइटें उनमें से कुछ भूल जाती हैं।
मुख्य हेडर
- HSTS: ब्राउज़र को हमेशा HTTPS इस्तेमाल करने पर मजबूर करता है।
- CSP: तय करता है कि कौन सी स्क्रिप्ट, स्टाइल और संसाधन लोड हो सकते हैं — XSS के ख़िलाफ़ मुख्य बचाव।
- X-Frame-Options: पेज को iframe में दिखने से रोकता है — क्लिकजैकिंग रुकती है।
- X-Content-Type-Options: nosniff पर सेट करें ताकि ब्राउज़र फ़ाइल टाइप का अनुमान न लगाए।
- Referrer-Policy और Permissions-Policy: रेफ़रर जानकारी और कैमरा, माइक, जियोलोकेशन जैसी शक्तिशाली सुविधाएँ सीमित करते हैं।
अपना स्कोर कैसे पढ़ें
हरा मतलब हेडर मौजूद और सही सेट है, लाल मतलब गायब या कमज़ोर है। स्कोर बताता है कि जाँचे गए हेडरों में से कितने मौजूद हैं — लेकिन स्कोर ही सब कुछ नहीं है; HSTS जैसा एक सही हेडर कई कमज़ोर हेडरों से ज़्यादा मायने रखता है।
डिप्लॉयमेंट टिप्स
CSP को पहले रिपोर्ट-ओनली मोड में लगाएँ, कंसोल में ब्लॉक हुए संसाधन देखें, फिर लागू करें। HSTS को छोटे समय से शुरू करके धीरे-धीरे बढ़ाएँ। बदलाव के बाद फिर से जाँचें।
हेडर से आगे
हेडर एक परत हैं, पूरी सुरक्षा नहीं। सॉफ़्टवेयर अपडेट रखें, मज़बूत पासवर्ड और दो-कारक प्रमाणीकरण इस्तेमाल करें, और ज़रूरत हो तो वेब एप्लिकेशन फ़ायरवॉल लगाएँ।
स्कोर का संदर्भ
छोटी स्टैटिक साइट का पूरा स्कोर पाना आसान है; बड़े, कई तीसरे-पक्ष की सेवाओं वाले साइटों के लिए CSP मुश्किल होता है। अपने जैसे साइटों से तुलना करें, परफ़ेक्ट स्कोर के पीछे न भागें।
सुधार जारी रखें
हर बड़े बदलाव के बाद फिर जाँचें। नए हेडर और सर्वोत्तम आदतें समय के साथ बदलती हैं, इसलिए साल में एक-दो बार ऑडिट दोहराएँ।