Strumento di verifica degli header HTTP

Valori ragionevoli per le intestazioni di sicurezza

Strict-Transport-Security: max-age=31536000; includeSubDomains fa usare HTTPS ai browser per un anno; aggiungi includeSubDomains solo quando ogni sottodominio offre HTTPS con un certificato valido, come conferma lo strumento di verifica SSL nome per nome. X-Content-Type-Options: nosniff ha un solo valore valido. Referrer-Policy: strict-origin-when-cross-origin è l'impostazione predefinita del browser e invia agli altri siti solo il tuo dominio. X-Frame-Options: DENY impedisce agli altri siti di incorporare le tue pagine; l'equivalente moderno è frame-ancestors 'none' nella Content Security Policy.

Introdurre una Content Security Policy

Una CSP elenca le origini da cui possono essere caricati script, stili, immagini e frame; una policy rigida interrompe il funzionamento di qualsiasi pagina che carichi qualcosa non incluso nell'elenco. Pubblicala inizialmente come Content-Security-Policy-Report-Only: i browser segnalano le violazioni nella console o a un endpoint indicato da te, senza bloccare nulla. Rendi la policy più restrittiva finché le segnalazioni non cessano, quindi passa all'intestazione applicata. Le intestazioni impostate da una CDN o da un proxy vengono mostrate qui insieme a quelle del tuo server, quindi un'intestazione rimossa potrebbe essere ancora aggiunta a monte.

Come usarlo

1. Inserisci l’URL di una pagina o di una risorsa pubblica.
2. Seleziona Leggi gli header.
3. Controlla il registro completo degli header e il riepilogo delle policy di sicurezza più comuni.

Privacy e limitazioni

L’URL viene verificato tramite l’API di TOEA e non viene salvato. I valori degli header Set-Cookie e di autenticazione del proxy vengono oscurati nel risultato.