Ücretsiz Gizlilik AraçlarıGüvenlik Başlıkları Denetleyicisi
Sade dilde açıklamalarla herhangi bir sitenin HTTP güvenlik başlıklarını denetleyin. Ücretsiz.
Nasıl kullanılır
- Bir sitenin bağlantısını girin (örneğin example.com) — http:// ve https:// ikisi de çalışır.
- Başlıkları denetle düğmesine tıklayın — böylece sizin için sitenin yanıt başlıklarını getiririz.
- Yeşil, başlığın mevcut ve iyi yapılandırılmış olduğu anlamına gelir; kırmızı, eksik veya zayıf olduğu anlamına gelir.
- Her sonucu genişleterek başlığın ne yaptığını ve sunucunuza nasıl ekleyeceğinizi okuyun.
Sıkça Sorulan Sorular
Gerçekten ücretsiz mi?
Evet — bu sitedeki her araç, sınırsız, kayıtsız ve filigransız %100 ücretsizdir.
Bazı siteler neden denetlenemiyor?
Bazı siteler kaynaklar arası başlık denetimlerini engeller. Daha derin tarama için şunu da deneyin: securityheaders.com .
Bazı siteler neden denetlenemiyor?
Bazı siteler kaynaklar arası başlık okumayı engeller, JavaScript oluşturma ister veya güçlü bot korumasının arkasındadır. Ve çok büyük kurumsal siteler ile katı CORS politikaları olan siteler denetimi reddedebilir — daha sonra yeniden deneyin veya hazırlık sürümünü test edin.
En önemli tek başlık hangisidir?
Strict-Transport-Security (HSTS). Tarayıcıları her zaman HTTPS kullanmaya zorlar; SSL sıyırma saldırılarını ortadan kaldırır. Tek satır ve çok büyük koruma — ancak dikkatle test edin, çünkü yanlış yapılandırılmış HSTS ziyaretçileri dışarıda bırakabilir.
Başlık eklemek sitemi bozar mı?
Nadiren, ancak Content-Security-Policy istisnadır — çok katı bir CSP politikası kendi betiklerinizi, yazı tiplerinizi veya gömülerinizi engeller. Yeni başlıkları önce yalnızca rapor modunda yayımlayın, konsolu izleyin, sonra uygulayın.
Bu başlıklar WAF'ın veya güncellemelerin yerini alır mı?
Hayır. Başlıklar, derinlemesine savunmanın yalnızca bir katmanıdır. Zayıf yazılımları yamamaz, DDoS'u durdurmaz ve web uygulama güvenlik duvarının yerini almaz — aksine zaten güvenli sitenizde ziyaret sırasında tarayıcı davranışını güçlendirir.
Güvenlik Başlıkları Denetleyicisi — Tam Kılavuz
HTTP güvenlik başlıkları, sunucunuzun her sayfayla gönderdiği görünmez talimatlardır; tarayıcılara nasıl davranacaklarını söyler: HTTPS'i zorunlu kılmak, tıklama hırsızlığını engellemek, MIME koklamayı durdurmak ve betikleri korumalı alanda tutmak. Çoğu sitede birkaçı eksiktir. Ve bu Güvenlik Başlıkları Denetleyicisi herhangi bir bağlantıyı saniyeler içinde inceler ve her sonucu açıklar.
Temel başlıklar
- Strict-Transport-Security (HSTS): Tüm gelecek ziyaretlerde HTTPS'i zorunlu kılar. En fazla etki için alt alan adlarını ve ön yüklemeyi ekleyin.
- Content-Security-Policy (CSP): Betiklerin, stillerin ve resimlerin yüklenebileceği kaynakları beyaz listeye alır — XSS'e karşı mevcut en güçlü savunmadır.
- X-Frame-Options / frame-ancestors: Diğer sitelerin sayfalarınızı görünmez çerçevelere gömmesini engeller (tıklama hırsızlığı).
- X-Content-Type-Options:
nosniff; tarayıcıların dosya türlerini yanlış yorumlamasını engeller. - Referrer-Policy: Referer başlığı aracılığıyla bağlantınızın ne kadarının diğer sitelere sızdığını kontrol eder.
- Permissions-Policy: Sitenizin ihtiyaç duymadığı tarayıcı özelliklerini (kamera, mikrofon ve coğrafi konum) kapatır.
Puanınızı nasıl okursunuz
Yeşil, mevcut ve doğru yapılandırılmış demektir. Kırmızı, eksik demektir — her kırmızı satır somut bir güçlendirme işidir, yalnızca öğüt değil. Ve kehribar veya uyarılar genellikle başlığın mevcut olduğu ancak zayıf bir değerle (örneğin kısa HSTS max-age) olduğu anlamına gelir. Önce kırmızıları düzeltin, sonra kehribarları ayarlayın.
Yayımlama önerileri
- Kolay kazançlarla başlayın: HSTS, X-Content-Type-Options ve Referrer-Policy, kırılma riski neredeyse sıfır olan tek satırlardır.
- CSP'yi aşamalı benimsemek gerekir: Politikanızı şununla oluşturarak başlayın:
Content-Security-Policy-Report-Only; önce ihlal raporlarını toplayın, sonra uygulayın. - Sunucu ayarı, kod değil: Nginx/Apache/Cloudflare'de başlıkları bir kez ayarlayın ve tüm siteye uygulanır — her sayfa için meta etiketlerden daha temizdir.
- Değişikliklerden sonra yeniden denetleyin: Her yayımlamadan sonra bu aracı yeniden çalıştırın; başlıkların gerçekten gönderildiğini doğrulayın.
Başlıkların ötesinde
Başlıklar, yamalama, web uygulama güvenlik duvarları ve güvenli kodlamayı tamamlar — asla yerlerini almaz. Onları emniyet kemeri gibi düşünün: temeldir, ancak yine de frenlere ihtiyacınız vardır. Temiz bir başlık raporunu her yerde HTTPS, güncel yazılım ve düzenli yedeklerle birleştirerek siteyi gerçekten güçlü kılın.
İncelemenin bağlamı
Eksik bir başlık kendi başına bir zayıflık değildir — eksik bir emniyet kemeridir. Ve riskiniz sitenizin ne yaptığına bağlıdır: durağan bir blog, oturumları ve ödemeleri işleyen bir bankacılık uygulamasından daha az başlığa ihtiyaç duyar. Risk modelinize göre önceliklendirin, ancak HSTS ve X-Content-Type-Options'ı evrensel sayın.
İyileştirmeye devam edin
Her büyük yayımlamadan sonra ve üç ayda bir bu denetimi rutin temizlik olarak yeniden çalıştırın. Başlıklar, geçişler, CDN değişiklikleri veya çerçeve yükseltmeleri sırasında sessizce kaybolabilir — ve iki dakikalık bir denetim, düşüşü saldırganlardan önce yakalar.