سیکیورٹی ہیڈرز چیکر

سیکیورٹی ہیڈرز چیکر — مکمل گائیڈ

HTTP سیکیورٹی ہیڈرز غیر مرئی ہدایات ہیں جو آپ کا سرور ہر صفحے کے ساتھ بھیجتا ہے، براؤزرز کو بتاتے ہوئے کہ کیسا رویہ اختیار کریں: HTTPS نافذ کرنا، کلک جیکنگ بلاک کرنا، MIME اسنفنگ روکنا اور اسکرپٹس کو سینڈ باکس میں رکھنا۔ زیادہ تر سائٹس میں کئی کی کمی ہوتی ہے۔ اور یہ سیکیورٹی ہیڈرز چیکر کسی بھی لنک کا سیکنڈوں میں جائزہ لیتا ہے اور ہر نتیجہ سمجھاتا ہے۔

بنیادی ہیڈرز

• Strict-Transport-Security (HSTS): تمام مستقبل کے وزٹس پر HTTPS نافذ کرتا ہے۔ زیادہ سے زیادہ اثر کے لیے سب ڈومینز اور پری لوڈ شامل کریں۔
• Content-Security-Policy (CSP): اسکرپٹس، اسٹائلز اور تصاویر لوڈ کرنے کے ذرائع کو وائٹ لسٹ کرتا ہے — یہ XSS کے خلاف دستیاب سب سے مضبوط دفاع ہے۔
• X-Frame-Options / frame-ancestors: دوسری سائٹس کو آپ کے صفحات کو غیر مرئی فریمز میں ایمبیڈ کرنے سے روکتا ہے (کلک جیکنگ)۔
• X-Content-Type-Options: nosniff براؤزرز کو فائل کی اقسام کی غلط تشریح سے روکتا ہے۔
• Referrer-Policy: کنٹرول کرتا ہے کہ Referer ہیڈر کے ذریعے آپ کے لنک کا کتنا حصہ دوسری سائٹس تک لیک ہوتا ہے۔
• Permissions-Policy: براؤزر کی خصوصیات (کیمرہ، مائیکروفون اور جیو لوکیشن) بند کرتا ہے جن کی آپ کی سائٹ کو ضرورت نہیں۔

اپنا اسکور کیسے پڑھیں

سبز کا مطلب موجود اور صحیح کنفیگر شدہ ہے۔ سرخ کا مطلب غائب ہے — ہر سرخ قطار ایک ٹھوس مضبوطی کا کام ہے، محض نصیحت نہیں۔ اور عنبری یا وارننگز کا عام طور پر مطلب ہے کہ ہیڈر موجود ہے لیکن کمزور قدر کے ساتھ (جیسے مختصر HSTS max-age)۔ پہلے سرخ ٹھیک کریں، پھر عنبری ایڈجسٹ کریں۔

شائع کرنے کی تجاویز

• آسان فوائد سے شروع کریں: HSTS، X-Content-Type-Options اور Referrer-Policy واحد لائنیں ہیں جن کے ٹوٹنے کا خطرہ تقریباً نہ ہونے کے برابر ہے۔
• CSP کو مرحلہ وار اپنانے کی ضرورت ہے: اپنی پالیسی اس سے بنا کر بنائیں Content-Security-Policy-Report-Only پہلے، خلاف ورزی کی رپورٹس جمع کریں، پھر نافذ کریں۔
• سرور کی سیٹنگ، کوڈ نہیں: Nginx/Apache/Cloudflare میں ہیڈرز ایک بار سیٹ کریں اور یہ پوری سائٹ پر لاگو ہو جائیں گے — ہر صفحے کے لیے meta ٹیگز سے زیادہ صاف۔
• تبدیلیوں کے بعد دوبارہ چیک کریں: ہر شائع کرنے کے بعد یہ ٹول دوبارہ چلائیں تاکہ تصدیق ہو کہ ہیڈرز واقعی بھیجے گئے ہیں۔

ہیڈرز سے آگے

ہیڈرز پیچنگ، ویب ایپلیکیشن فائر والز اور محفوظ کوڈنگ کی تکمیل کرتے ہیں — کبھی ان کی جگہ نہیں لیتے۔ انہیں سیٹ بیلٹس کی طرح سمجھیں: بنیادی، لیکن آپ کو پھر بھی بریکس چاہیے۔ صاف ہیڈر رپورٹ کو ہر جگہ HTTPS، اپ ڈیٹ شدہ سافٹ ویئر اور باقاعدہ بیک اپس کے ساتھ جوڑیں تاکہ سائٹ واقعی مضبوط ہو۔

جائزے کا سیاق

غائب ہیڈر خود کوئی کمزوری نہیں ہے — بلکہ ایک غائب سیٹ بیلٹ ہے۔ اور آپ کا خطرہ اس پر منحصر ہے کہ آپ کی سائٹ کیا کرتی ہے: ایک مستحکم بلاگ کو بینکنگ ایپ سے کم ہیڈرز چاہیے جو سیشنز اور ادائیگیاں سنبھالتی ہے۔ اپنے خطرے کے ماڈل کی بنیاد پر ترجیح دیں، لیکن HSTS اور X-Content-Type-Options کو عالمی سمجھیں۔

بہتری جاری رکھیں

ہر بڑے شائع کرنے کے بعد اور سہ ماہی طور پر یہ چیک معمول کی صفائی کے طور پر دوبارہ چلائیں۔ ہیڈرز مائیگریشنز، CDN تبدیلیوں یا فریم ورک اپ گریڈز کے دوران خاموشی سے غائب ہو سکتے ہیں — اور دو منٹ کا چیک حملہ آوروں سے پہلے گراوٹ پکڑ لیتا ہے۔