Supporto tecnico pratico
Informazioni su un controllo di sicurezza di un sito web pubblico
Un badge verde nell'intestazione non può stabilire che un intero sito web sia sicuro, ma può indicare che un sito è sicuro.
Ultima revisione: 2016
Cosa possiamo osservare
Il controllore di sicurezza del sito web Controlla la connessione finale, le intestazioni HTTP selezionate e un set limitato di riferimenti alle risorse e azioni dei moduli nell'HTML restituito. Non esegue l'accesso, l'invio di moduli, l'esecuzione di script del sito Web o il test di un exploit.
HTTPS è una prova necessaria, non un verdetto di sicurezza
Un certificato verificato consente di stabilire una connessione crittografata al nome host richiesto. Un sito Web dannoso può anche utilizzare HTTPS.Il nostro controllo non controlla la configurazione TLS tra i protocolli, non determina l'onestà dell'operatore né ispeziona i dati privati delle applicazioni.
HSTS è un'istruzione separata del browser per preferire HTTPS dopo aver appreso la norma. Inizia a lavorare con HTTPS prima di aggiungere una lunga durata di HSTS.L'inclusione di sottodomini o la richiesta di precaricamento possono influenzare i servizi oltre la pagina che stai modificando; non copiare una norma senza controllare tale copertura.
Abbina il controllo al suo scopo
| Controllo | Domanda utile |
|---|---|
| Politica di sicurezza dei contenuti | La sola presenza di una policy non dimostra che essa blocchi l'attacco in questione. |
| Restrizioni di framing | Controllare i frame-ancestors CSP e qualsiasi intestazione X-Frame-Options per verificare che non sia stato fatto questo intento. |
| Nosniff | I tipi di risorsa sono serviti correttamente, con un'istruzione del browser corrispondente contro lo sniffing MIME? |
| Politica di referrer | Anche le impostazioni predefinite del browser, le meta policy e i singoli link sono importanti. |
| Politica delle autorizzazioni | Uno strumento per la fotocamera deve mantenere le autorizzazioni necessarie per funzionare correttamente.A camera tool must maintain the permissions needed to work. |
Leggere i risultati dei contenuti misti in un browser
Anno HTTP Immagine o modulo di destinazione in un HTTPS Alcune richieste di risorse potrebbero essere aggiornate o bloccate da un browser. Il nostro controllo non le recupera, non segue i loro reindirizzamenti, non ispeziona i loro URL, non controlla le loro pagine di destinazione e non li analizza. CSS Apri gli strumenti per sviluppatori della tua pagina per confermare ciò che accade effettivamente, quindi testa i percorsi degli utenti più importanti.
Perché non possiamo certificare le patch software
Un valore pubblico Server o X-Powered-By è una dichiarazione. Può essere nascosto, modificato, servito da un proxy o mantenuto dopo che un fornitore ha eseguito il backport di una correzione. Nasconderlo riduce la divulgazione, ma non applica patch al software. Per valutare un avviso PHP o di plugin, controllare il pacchetto installato, la configurazione e le istruzioni del fornitore con l'host o l'amministratore.
Utilizzare un processo di cambiamento misurato
- Verifica che la risposta appartenga alla pagina desiderata, piuttosto che a una sfida di bot o a una schermata di errore.
- Rivedi ogni osservazione rispetto allo scopo della pagina.
- Effettua una modifica di configurazione nello staging e testa navigazione, moduli, media e integrazioni esterne.
- Rivedere i report CSP, se del caso, prima di applicare una politica più rigorosa.
- Mantieni la patch, i backup e la sicurezza dell'account come responsabilità separate.
Una risposta pubblica pulita può coesistere con i difetti di un'applicazione privata; un'intestazione opzionale mancante non è automaticamente una vulnerabilità; tuttavia, una risposta pubblica pulita può coesistere con i difetti di un'applicazione privata; un'intestazione opzionale mancante non è automaticamente una vulnerabilità.
Riferimenti tecnici: Guida CSP di MDN, HSTS, Nosniff e Controlli di inquadratura.