Praktische technische ondersteuning
Inzicht in een beveiligingscontrole van een openbare website
Gebruik waarneembaar bewijs om een zinvolle volgende controle te kiezen: een groene headerbadge kan niet aantonen dat een hele website veilig is.
Laatst beoordeeld door:
Wat we kunnen waarnemen
De websitebeveiligingscontrole Het leest één openbaar antwoord en de crawlinstructies van de site. Het controleert de uiteindelijke verbinding, geselecteerde HTTP-headers en een beperkte set bronverwijzingen en formulieracties in geretourneerde HTML.Het meldt zich niet aan, verzendt geen formulieren, voert geen websitescripts uit en test geen exploits.
HTTPS is noodzakelijk bewijs, geen veiligheidsoordeel
Een geverifieerd certificaat helpt een versleutelde verbinding tot stand te brengen met de aangevraagde hostnaam.Een kwaadaardige website kan ook HTTPS gebruiken.Onze controle controleert niet de TLS-configuratie voor verschillende protocollen, bepaalt de eerlijkheid van de operator of inspecteert privé-applicatiegegevens.
HSTS is een afzonderlijke browserinstructie om HTTPS de voorkeur te geven na het leren van het beleid. Begin met het werken met HTTPS voordat u een lange HSTS-levensduur toevoegt.Het opnemen van subdomeinen of het aanvragen van preloading kan invloed hebben op services buiten de pagina die u bewerkt; kopieer geen beleid zonder die dekking te controleren.
Het besturingselement afstemmen op het doel
| Controle | Een nuttige vraag |
|---|---|
| Beleid inzake inhoudsbeveiliging | Beperkt het beleid de bronnen die de applicatie echt nodig heeft?Aanwezigheid alleen laat niet zien dat het de relevante aanval blokkeert. |
| Beperkingen voor framing | Moet deze pagina worden ingesloten? Controleer de CSP frame-ancestors en eventuele X-Frame-Options headers op deze intentie. |
| nosniff | Worden brontypen correct geserveerd, met een overeenkomende browserinstructie tegen MIME-sniffing? |
| Beleid voor verwijzers | Ook de standaardinstellingen van de browser, het metabeleid en de individuele links zijn van belang. |
| Beleid voor machtigingen | Welke browserfuncties heeft deze pagina nodig?Een cameratool moet de machtigingen behouden die nodig zijn om te werken. |
Bevindingen met gemengde inhoud lezen in een browser
Een HTTP-afbeelding of formulierbestemming in een HTTPS-document is het onderzoeken waard. Sommige bronaanvragen kunnen worden geüpgraded of geblokkeerd door een browser. Onze controle haalt ze niet op, volgt hun omleidingen niet, inspecteert CSS niet of voert script-gecreëerde aanvragen niet uit. Open de ontwikkelaarstools van uw eigen pagina om te bevestigen wat er daadwerkelijk gebeurt, en test vervolgens de belangrijke gebruikerstrajecten.
Waarom we softwarepatches niet kunnen certificeren
Een publieke Server of X-Powered-By waarde is een verklaring. Het kan worden verborgen, gewijzigd, geserveerd door een proxy of behouden nadat een leverancier een oplossing backports. Het verbergen ervan vermindert de openbaarmaking, maar patcht geen software. Om een PHP- of plugin-advies te beoordelen, controleert u het geïnstalleerde pakket, de configuratie en de aanwijzingen van de leverancier bij de host of beheerder.
Gebruik een gemeten veranderingsproces
- Controleer of het antwoord behoort tot de beoogde pagina, in plaats van een bot-uitdaging of een foutscherm.
- Bekijk elke observatie tegen het doel van de pagina.
- Breng één configuratiewijziging aan in staging en test navigatie, formulieren, media en externe integraties.
- Bekijk waar nodig CSP-rapporten voordat u een strenger beleid afdwingt.
- Noteer de wijziging en test opnieuw.Houd patching, back-ups en accountbeveiliging als aparte verantwoordelijkheden.
De checker markeert onvolledige leesbewerkingen en geeft geen algemene “veilige” score.Een schoon publiek antwoord kan samengaan met fouten in een privé-applicatie; een ontbrekende optionele header is niet automatisch een kwetsbaarheid.
Technische referenties: MDN’s CSP gids, HSTS, nosniff en Besturingselementen voor framing.