Praktische technische Unterstützung
Grundlegendes zu einer öffentlichen Website-Sicherheitsprüfung
Verwenden Sie beobachtbare Beweise, um eine sinnvolle nächste Prüfung auszuwählen.Ein grünes Header-Badge kann nicht feststellen, dass eine gesamte Website sicher ist.
Zuletzt bewertet am:
Was wir beobachten können
Der Website-Sicherheitscheck Der Crawler liest eine öffentliche Antwort und die Crawling-Anweisungen der Website. Er überprüft die endgültige Verbindung, ausgewählte HTTP-Header und einen begrenzten Satz von Ressourcenverweisen und Formularaktionen im zurückgegebenen HTML.Er meldet sich nicht an, sendet keine Formulare, führt keine Websiteskripts aus und testet keinen Exploit.
HTTPS ist ein notwendiger Beweis, kein Sicherheitsurteil
Ein verifiziertes Zertifikat hilft dabei, eine verschlüsselte Verbindung zum angeforderten Hostnamen herzustellen.Eine bösartige Website kann auch HTTPS verwenden. Unsere Prüfung überprüft nicht die TLS-Konfiguration über Protokolle hinweg, bestimmt die Ehrlichkeit des Betreibers oder überprüft private Anwendungsdaten.
HSTS ist eine separate Browser-Anweisung, die HTTPS bevorzugt, nachdem die Richtlinie gelernt wurde.Bevor Sie eine lange HSTS-Lebensdauer hinzufügen, arbeiten Sie zunächst mit HTTPS.Das Einschließen von Subdomains oder das Anfordern eines Vorladens kann Dienste über die Seite hinaus beeinflussen, die Sie bearbeiten. Kopieren Sie keine Richtlinie, ohne diese Abdeckung zu überprüfen.
Abstimmen des Steuerelements auf seinen Zweck
| Control | Hilfreiche Frage |
|---|---|
| Sicherheitsrichtlinie für Inhalte | Beschränkt die Richtlinie die Ressourcen, die die Anwendung wirklich benötigt?Die Präsenz allein zeigt nicht, dass sie den entsprechenden Angriff blockiert. |
| Framing-Beschränkungen | Sollte diese Seite eingebettet werden? Überprüfen Sie CSP frame-ancestors und alle X-Frame-Options-Header gegen diese Absicht. |
| Nosniff | Werden Ressourcentypen korrekt ausgeliefert, mit einer entsprechenden Browseranweisung gegen MIME-Sniffing? |
| Referrer-Richtlinie | Wie viele URL-Informationen sollte ein Ziel erhalten?Browser-Voreinstellungen, Meta-Richtlinien und einzelne Links spielen ebenfalls eine Rolle. |
| Richtlinie für Berechtigungen | Ein Kamera-Tool muss die Berechtigungen behalten, die für die Funktionsfähigkeit dieser Seite erforderlich sind. |
Ergebnisse mit gemischten Inhalten in einem Browser lesen
Ein HTTP-Bild oder ein Formularziel in einem HTTPS-Dokument lohnt es sich zu untersuchen. Einige Ressourcenanforderungen werden möglicherweise von einem Browser aktualisiert oder blockiert. Unsere Prüfung holt sie nicht ab, folgt ihren Umleitungen, überprüft CSS oder führt skriptbasierte Anforderungen aus. Öffnen Sie die Entwicklertools Ihrer eigenen Seite, um zu überprüfen, was tatsächlich passiert, und testen Sie dann die wichtigen User Journeys.
Warum wir Software-Patches nicht zertifizieren können
Ein öffentlicher Server- oder X-Powered-By-Wert ist eine Deklaration. Er kann ausgeblendet, geändert, von einem Proxy bereitgestellt oder nach der Backportierung eines Fixes durch einen Anbieter beibehalten werden. Durch das Ausblenden wird die Offenlegung verringert, die Software wird jedoch nicht gepatcht. Um eine PHP- oder Plugin-Empfehlung zu bewerten, überprüfen Sie das installierte Paket, die Konfiguration und die Anleitung des Anbieters mit dem Host oder Administrator.
Nutzen Sie einen gemessenen Veränderungsprozess
- Überprüfen Sie, ob die Antwort zur beabsichtigten Seite gehört und nicht zu einer Bot-Herausforderung oder einem Fehlerbildschirm.
- Überprüfen Sie jede Beobachtung im Hinblick auf den Zweck der Seite.
- Nehmen Sie eine Konfigurationsänderung im Staging vor und testen Sie Navigation, Formulare, Medien und externe Integrationen.
- Überprüfen Sie gegebenenfalls CSP-Berichte, bevor Sie eine strengere Richtlinie durchsetzen.
- Notieren Sie die Änderung auf und testen Sie sie erneut.Patching, Backups und Account-Sicherheit sind getrennte Aufgaben.
Der Checker kennzeichnet unvollständige Lesevorgänge und gibt insgesamt keine „sichere“ Bewertung ab. Eine saubere öffentliche Antwort kann mit privaten Anwendungsfehlern koexistieren. Ein fehlender optionaler Header ist nicht automatisch eine Schwachstelle.
Technische Referenzen: MDNs CSP-Leitfaden, HSTS, Nosniff und Framing-Steuerelemente.