Главная Инструменты Заголовки безопасности сайта

Проверка заголовков безопасности сайта

Введите адрес сайта: мы откроем главную страницу как обычный посетитель, найдём защитные заголовки ответа, поставим оценку от A до F и покажем, что добавить в настройки сервера. Бесплатно, без регистрации.

Что такое заголовки безопасности

Это служебные строки в ответе сервера, которые говорят браузеру, как безопасно показывать страницу. Они почти ничего не стоят, не меняют внешний вид сайта и закрывают целые классы атак: внедрение скриптов, кликджекинг, подмену типа файла, перехват по http.

Какие заголовки мы проверяем

Strict-Transport-Security (HSTS) — браузер всегда открывает сайт по HTTPS.
Content-Security-Policy — список источников, откуда странице разрешено грузить скрипты и стили. Главная защита от внедрения чужого кода (XSS).
X-Content-Type-Options: nosniff — браузер не «угадывает» тип файла.
X-Frame-Options или frame-ancestors — запрет встраивать сайт в чужие фреймы (кликджекинг).
Referrer-Policy и Permissions-Policy — что уходит на другие сайты и какие возможности устройства доступны странице.
Раскрытие версий в заголовках Server и X-Powered-By, которое помогает сканерам подобрать уязвимость.

Как исправить

Заголовки добавляются в настройках веб-сервера. Для nginx это директивы add_header, для Apache Header always set в .htaccess, для WordPress и Битрикс есть плагины и настройки модулей. Content-Security-Policy вводите осторожно: сначала в режиме Content-Security-Policy-Report-Only, чтобы не сломать счётчики и виджеты.

При чём здесь боты

Сканеры уязвимостей начинают с чтения заголовков и версий ПО: автоматическая разведка ищет слабые места раньше злоумышленников. Закрытые заголовки и скрытые версии снижают шанс стать лёгкой целью. Как сайт отвечает ботам, можно проверить в проверке защиты сайта.

Вопросы и ответы

Влияют ли заголовки безопасности на SEO?

Напрямую нет. Косвенно HTTPS с HSTS и отсутствие предупреждений браузера помогают доверию посетителей, а взломанный сайт теряет позиции быстрее любого заголовка.

Нужна ли оценка A, чтобы сайт был в безопасности?

Нет, оценка показывает гигиену настроек, а не взломоустойчивость сайта. Но недостающие заголовки добавляются за час и дают реальную защиту.

Может ли CSP сломать сайт?

Да, если запретить источники, которые сайт использует (счётчики, чаты, шрифты). Поэтому начинайте с режима Report-Only и смотрите отчёты.

Проверяет ли инструмент внутренние страницы?

Только адрес, который вы ввели, по умолчанию это главная. Заголовки на других страницах лучше проверить отдельно, если они выдаются другим кодом.

Другие проверки

Защитите сайт от ботов. Боты сканируют заголовки, сертификаты и версии ПО раньше злоумышленников. Подключить Bot Guard бесплатно или узнать, как это работает.