Verificador de Cabeçalhos HTTP

Valores adequados para os cabeçalhos de segurança

Strict-Transport-Security: max-age=31536000; includeSubDomains faz os navegadores usarem HTTPS por um ano; adicione includeSubDomains somente quando todos os subdomínios usarem HTTPS com um certificado válido, algo que o verificador de SSL confirma nome por nome. X-Content-Type-Options: nosniff tem um único valor válido. Referrer-Policy: strict-origin-when-cross-origin é o padrão do navegador e envia a outros sites apenas o seu domínio. X-Frame-Options: DENY impede que outros sites exibam suas páginas em frames; o equivalente moderno é frame-ancestors 'none' na Content Security Policy.

Introduzindo uma Content Security Policy

Uma CSP lista de onde scripts, estilos, imagens e frames podem ser carregados, e uma política rigorosa quebra qualquer página que carregue algo não listado. Implemente-a primeiro como Content-Security-Policy-Report-Only: os navegadores relatam violações no console ou em um endpoint indicado por você, sem bloquear nada. Restrinja a política até que os relatórios parem e então mude para o cabeçalho que aplica as regras. Cabeçalhos definidos por uma CDN ou proxy aparecem aqui junto aos do seu próprio servidor, então um cabeçalho removido por você ainda pode ser adicionado upstream.

Como usar

1. Insira uma URL pública de página ou recurso.
2. Escolha Ler cabeçalhos.
3. Revise a listagem completa de cabeçalhos e o resumo das políticas de segurança mais comuns.

Privacidade e limitações

A URL é verificada pela API da TOEA e não é salva. Os valores de cabeçalhos Set-Cookie e de autenticação de proxy são ocultados no resultado.