آن لائن مفت میں ویب سائٹ سیکیورٹی ہیڈرز کیسے چیک کریں (2026 گائیڈ)

جب آپ کا براؤزر کوئی ویب سائٹ لوڈ کرتا ہے تو نظر آنے والا صفحہ گفتگو کا صرف آدھا حصہ ہے۔ پس منظر میں سرور HTTP سیکیورٹی ہیڈرز بھی بھیجتا ہے — نظر نہ آنے والی ہدایات جو براؤزر کو بتاتی ہیں کہ کیسے برتاؤ کرنا ہے: صرف خفیہ کنکشن استعمال کریں، اس صفحے کو دوسری سائٹس سے فریم نہ ہونے دیں، غیر متوقع اسکرپٹ ذرائع کو روکیں۔ یہ سائٹ مالک کے لیے سب سے سستے، سب سے مؤثر دفاعوں میں سے ایک ہیں، اور زائرین کے لیے مکمل طور پر نظر نہیں آتے۔ یہ گائیڈ دکھاتی ہے کہ ہمارے مفت سیکیورٹی ہیڈرز چیکر سے کسی بھی سائٹ کے ہیڈرز کا آڈٹ کیسے کریں، ہر ہیڈر کا سادہ اردو میں کیا مطلب ہے، اور نتائج کے ساتھ کیا کرنا ہے۔

سیکیورٹی ہیڈرز کیا ہیں؟

ہر ویب رسپانس ہیڈرز لے کر آتا ہے — صفحے کے مواد سے پہلے بھیجی جانے والی چھوٹی key/value میٹا ڈیٹا سطریں۔ زیادہ تر عام ہوتی ہیں (مواد کی قسم، کیشنگ)۔ سیکیورٹی ہیڈرز وہ ذیلی مجموعہ ہیں جو اس سائٹ کے لیے براؤزر کے رویے کو سخت کرتے ہیں۔ انہیں بھیجنے میں کچھ خرچ نہیں آتا، صارف کی کسی کارروائی کی ضرورت نہیں، اور یہ حملوں کی پوری اقسام کو کم کرتے ہیں: چھپ کر سننا، کلک جیکنگ، کراس سائٹ اسکرپٹنگ، اور مواد کی قسم کی الجھن۔ ہیڈرز سے محروم سائٹ ضروری نہیں کہ "ہیک" ہوئی ہو — لیکن یہ مفت تحفظ کو استعمال نہیں کر رہی۔

مرحلہ 1: ویب سائٹ کا URL درج کریں

سیکیورٹی ہیڈرز چیکر کھولیں اور ویب سائٹ کا پتہ ٹائپ کریں — ٹیسٹ کے طور پر example.com ٹھیک کام کرتا ہے۔ آپ کوئی بھی عوامی سائٹ چیک کر سکتے ہیں: اپنی، اپنے آجر کی، یا جس کے بارے میں آپ صرف متجسس ہیں۔ ہیڈرز چیک کرنا ایک عام، بے ضرر تشخیص ہے — آپ صرف وہی عوامی رسپانس ہیڈرز پڑھ رہے ہیں جو کوئی بھی براؤزر وصول کرتا ہے۔

مرحلہ 2: چیک چلائیں

ہیڈرز چیک کریں پر کلک کریں۔ ٹول سائٹ کے رسپانس ہیڈرز لاتا ہے اور اہم سیکیورٹی ہیڈرز کا جائزہ لیتا ہے۔ سیکنڈوں میں آپ کو ہر ہیڈر کی رپورٹ مل جاتی ہے۔

ایک انتباہ: چند سائٹس کراس اوریجن ہیڈر چیکس کو روکتی ہیں، اس لیے کبھی کبھار براؤزر پر مبنی ٹول سے کسی سائٹ کو اسکین نہیں کیا جا سکتا۔ اگر ایسا ہو تو ٹول آپ کو بتائے گا — اور گہرے اسکین کے لیے آپ معروف securityheaders.com سروس بھی آزما سکتے ہیں۔

مرحلہ 3: نتائج پڑھیں — سبز کا مطلب موجود، سرخ کا مطلب غائب

ہر ہیڈر کو ایک سادہ فیصلہ ملتا ہے: سبز کا مطلب ہیڈر موجود ہے، سرخ کا مطلب وہ غائب ہے۔ سرخ دیکھ کر گھبرائیں نہیں — رپورٹ کو خلاف ورزی کا الرٹ نہیں، کرنے والے کاموں کی فہرست سمجھیں۔ نیچے بتایا گیا ہے کہ ہر ہیڈر اصل میں کیا کرتا ہے۔

ہیڈر بہ ہیڈر، سادہ اردو میں

Strict-Transport-Security (HSTS)

براؤزر کو بتاتا ہے: "اس سائٹ سے صرف HTTPS پر بات کرو، چاہے کوئی کنکشن کو کمزور کرنے کی کوشش کرے۔" یہ sslstrip طرز کے حملوں کو شکست دیتا ہے جو خاموشی سے خفیہ کاری ختم کرنے کی کوشش کرتے ہیں۔ لاگ ان یا ادائیگیوں کو سنبھالنے والی کسی بھی سائٹ کو اسے بھیجنا چاہیے۔

Content-Security-Policy (CSP)

ایک وائٹ لسٹ جو اعلان کرتی ہے کہ صفحہ اسکرپٹس، اسٹائلز اور دیگر وسائل کہاں سے لوڈ کر سکتا ہے۔ یہ کراس سائٹ اسکرپٹنگ (XSS) کے خلاف سب سے مضبوط دستیاب دفاع ہے: چاہے حملہ آور اسکرپٹ ٹیگ داخل کر دے، براؤزر اسے چلانے سے انکار کر دیتا ہے جب تک ذریعہ اجازت شدہ نہ ہو۔ اسے درست طریقے سے ترتیب دینا سب سے مشکل ہیڈر بھی ہے، اسی لیے کئی سائٹس میں یہ نہیں ہوتا۔

X-Frame-Options

کنٹرول کرتا ہے کہ آیا صفحے کو دوسری سائٹ پر فریم یا iframe میں شامل کیا جا سکتا ہے۔ DENY یا SAMEORIGIN پر سیٹ ہونے سے کلک جیکنگ رکتی ہے — وہ حملے جو کلکس ہائی جیک کرنے کے لیے ایک نظر نہ آنے والا بدنیتی والا صفحہ جائز صفحے کے اوپر (یا نیچے) لگا دیتے ہیں۔ (جدید سائٹس اس کے بجائے CSP کی frame-ancestors ہدایت استعمال کر سکتی ہیں، جو اس کی جگہ لیتی ہے۔)

X-Content-Type-Options

قدر nosniff کے ساتھ، یہ براؤزرز کو فائل کی اعلان شدہ مواد قسم کا دوسرا اندازہ لگانے سے روکتا ہے۔ اس کے بغیر براؤزر اپ لوڈ شدہ فائل کو "سونگھ" کر فیصلہ کر سکتا ہے کہ یہ دراصل HTML/JavaScript ہے، اور اسے چلا سکتا ہے — فائل اپ لوڈز کے ذریعے حملوں کا ایک کلاسک راستہ۔

Referrer-Policy

کنٹرول کرتی ہے کہ دور جانے پر صفحے کے URL کا کتنا حصہ HTTP Referer کے طور پر بھیجا جاتا ہے۔ ایک سخت پالیسی (جیسے strict-origin-when-cross-origin یا no-referrer) اندرونی URLs، کوئری اسٹرنگز میں سیشن ٹوکنز، یا نجی راستوں کو تیسرے فریق کی سائٹس تک لیک ہونے سے روکتی ہے۔

اگر یہ آپ کی سائٹ ہے: غائب ہیڈرز کے ساتھ کیا کریں

1. HSTS اور X-Content-Type-Options کو ترجیح دیں — یہ تقریباً ہر سرور اور ویب فریم ورک پر ایک سطر کے اضافے ہیں۔
2. X-Frame-Options شامل کریں (یا CSP frame-ancestors) جب تک آپ کے پاس فریمنگ کی اجازت کی کوئی خاص وجہ نہ ہو۔
3. Content-Security-Policy کی احتیاط سے منصوبہ بندی کریں۔ رپورٹ اونلی پالیسی سے شروع کریں تاکہ معلوم ہو آپ کے صفحات جائز طور پر کیا لوڈ کرتے ہیں، پھر اسے نافذ کریں۔ غلط ترتیب شدہ CSP آپ کی سائٹ کو واضح طور پر توڑ دیتا ہے، اس لیے پہلے اسٹیجنگ میں ٹیسٹ کریں۔
4. ہر تبدیلی کے بعد دوبارہ اسکین کریں تاکہ تصدیق ہو کہ ہیڈرز واقعی بھیجے جا رہے ہیں۔

ہیڈرز سرور یا ایپلی کیشن سطح پر سیٹ ہوتے ہیں (ویب سرور کنفیگریشن، فریم ورک مڈل ویئر، یا CDN کے ایج رولز) — بالکل درست مراحل آپ کے اسٹیک پر منحصر ہیں، لیکن ہر بڑا پلیٹ فارم انہیں دستاویز کرتا ہے۔

اگر یہ کسی اور کی سائٹ ہے: سرخ کو کیسے سمجھیں

جس سائٹ پر آپ صرف جاتے ہیں، اس پر غائب ہیڈر نوٹ کرنے کے قابل ہے، گھبرانے کے قابل نہیں۔ سیکیورٹی ہیڈرز گہرائی میں دفاع ہیں: ان کی عدم موجودگی کا مطلب یہ نہیں کہ سائٹ سمجھوتہ شدہ ہے یا وہاں آپ کا ڈیٹا بے نقاب ہے۔ اس کا مطلب ہے کہ سائٹ کے آپریٹرز نے مفت تحفظ کی ایک تہہ فعال نہیں کی۔ جن سائٹس پر آپ حساس معلومات درج کرتے ہیں، ان کے لیے آپ معقول طور پر ان حریفوں کو ترجیح دے سکتے ہیں جو سختی کو سنجیدگی سے لیتے ہیں — لیکن سرخ قطار کو غلط کام کا ثبوت نہ سمجھیں۔

ہیڈر چیکس کیا نہیں بتا سکتے

یہاں بھی ایمانداری اہم ہے۔ ہیڈر اسکین ترتیب چیک کرتا ہے، کمزوریاں نہیں: یہ SQL انجکشن، ٹوٹی ہوئی تصدیق، لیک شدہ راز، یا پرانا سافٹ ویئر نہیں ڈھونڈ سکتا۔ ایک سائٹ ہیڈرز پر مکمل اسکور کر سکتی ہے اور پھر بھی نیچے سے غیر محفوظ ہو سکتی ہے — اور چند ہیڈرز سے محروم سائٹ ویسے اچھی طرح انجینئر شدہ ہو سکتی ہے۔ اسے یہ چیک کرنے جیسا سمجھیں کہ گھر میں ڈیڈ بولٹ ہیں یا نہیں: مفید معلومات، مکمل سیکیورٹی آڈٹ نہیں۔

عمومی سوالات

کیا ویب سائٹ کے ہیڈرز چیک کرنا قانونی ہے؟

جی ہاں۔ آپ سائٹ کا عوامی ہوم پیج طلب کر رہے ہیں اور وہ معیاری رسپانس میٹا ڈیٹا پڑھ رہے ہیں جو ہر براؤزر وصول کرتا ہے۔ یہ صفحے کا سورس دیکھنے جیسی سرگرمی کی قسم ہے۔

کچھ سائٹس کیوں چیک نہیں ہو سکتیں؟

چند سائٹس کراس اوریجن درخواستوں کو روکتی ہیں، جو براؤزر پر مبنی ٹولز کو ان کے ہیڈرز پڑھنے سے روکتا ہے۔ ان کے لیے securityheaders.com جیسا سرور سائیڈ اسکینر عام طور پر کام کرتا ہے۔

کیا سیکیورٹی ہیڈرز ویب سائٹ کو سست کرتے ہیں؟

کوئی قابل پیمائش اثر نہیں — یہ رسپانس میں چند اضافی بائٹس ہیں۔ انہیں چھوڑنے کی کوئی کارکردگی کی وجہ نہیں ہے۔

کیا ہیڈرز شامل کرنے سے میری سائٹ ٹوٹ جائے گی؟

زیادہ تر ہیڈرز سیدھے شامل کرنا محفوظ ہیں۔ Content-Security-Policy استثنا ہے: پہلے اسے رپورٹ اونلی موڈ میں ٹیسٹ کریں، کیونکہ بہت سخت پالیسی جائز اسکرپٹس کو روکتی ہے اور فعالیت توڑ دیتی ہے۔

ابھی کسی سائٹ کا آڈٹ کریں: مفت سیکیورٹی ہیڈرز چیکر · مفت IP لک اپ · مفت فشنگ URL چیکر