مدقّق رؤوس HTTP

قيم مناسبة لترويسات الأمان

تجعل Strict-Transport-Security: max-age=31536000; includeSubDomains المتصفحات تستخدم HTTPS لمدة عام؛ أضف includeSubDomains فقط عندما يقدّم كل نطاق فرعي HTTPS مع شهادة صالحة، وهو ما تؤكده أداة فحص SSL اسمًا بعد اسم. ليس لـ X-Content-Type-Options: nosniff سوى قيمة صالحة واحدة. أما Referrer-Policy: strict-origin-when-cross-origin فهي الإعداد الافتراضي للمتصفح، وترسل إلى المواقع الأخرى نطاقك فقط. تمنع X-Frame-Options: DENY المواقع الأخرى من تضمين صفحاتك داخل إطارات؛ والنظير الحديث لها هو frame-ancestors 'none' في Content Security Policy.

مقدمة إلى Content Security Policy

تحدد CSP مصادر تحميل النصوص البرمجية والأنماط والصور والإطارات، وتؤدي السياسة الصارمة إلى تعطيل أي صفحة تحمّل شيئًا غير مدرج فيها. طبّقها أولًا بصيغة Content-Security-Policy-Report-Only: تسجل المتصفحات الانتهاكات في وحدة التحكم أو في نقطة نهاية تحددها، من دون حجب أي شيء. شدد السياسة حتى تتوقف التقارير، ثم انتقل إلى الترويسة الفعالة. تظهر هنا الترويسات التي تضيفها شبكة CDN أو الخادم الوكيل إلى جانب ترويسات خادمك، لذلك قد تتم إضافة ترويسة أزلتها من المصدر في طبقة أعلى.

طريقة الاستخدام

1. أدخل عنوان URL لصفحة أو مورد عام.
2. اختر قراءة الرؤوس.
3. راجع سجل الرؤوس الكامل وملخص سياسات الأمان الشائعة.

الخصوصية والقيود

يُفحص عنوان URL عبر واجهة برمجة تطبيقات TOEA ولا يُحفظ. تُحجب قيم رأسي Set-Cookie ومصادقة الوكيل من النتيجة.