Praktyczne wsparcie techniczne
Informacje o kontroli bezpieczeństwa publicznej witryny internetowej
Użyj obserwowalnych dowodów, aby wybrać rozsądną następną kontrolę.Zielona odznaka nagłówka nie może ustalić, że cała strona jest bezpieczna.
Ostatnio przeglądane:
Co możemy zaobserwować
Kontroler bezpieczeństwa strony internetowej Odczytuje jedną publiczną odpowiedź i instrukcje indeksowania witryny, sprawdza ostateczne połączenie, wybrane nagłówki HTTP oraz ograniczony zestaw odwołań do zasobów i akcji formularzy w zwróconym kodzie HTML. Nie loguje się, nie przesyła formularzy, nie wykonuje skryptów witryny ani nie testuje exploitów.
HTTPS to niezbędny dowód, a nie werdykt bezpieczeństwa
Zweryfikowany certyfikat pomaga w nawiązaniu zaszyfrowanego połączenia z żądaną nazwą hosta. Złośliwa strona internetowa może również używać protokołu HTTPS.Nasza kontrola nie audytuje konfiguracji protokołu TLS, nie określa uczciwości operatora ani nie sprawdza prywatnych danych aplikacji.
HSTS to osobna instrukcja przeglądarki, która preferuje HTTPS po nauczeniu się zasady. Zacznij od pracy z HTTPS przed dodaniem długiego czasu życia HSTS.Dołączanie subdomen lub żądanie wstępnego ładowania może mieć wpływ na usługi poza edytowaną stroną; nie kopiuj zasady bez sprawdzenia tego zakresu.
Dopasuj kontrolkę do jej przeznaczenia
| Kontrola | Przydatne pytanie |
|---|---|
| Polityka bezpieczeństwa treści | Czy polityka ogranicza zasoby, których aplikacja rzeczywiście potrzebuje?Sama obecność nie pokazuje, że blokuje odpowiedni atak. |
| Ograniczenia kadrowania | Czy ta strona powinna być osadzona? Przejrzyj CSP frame-ancestors i każdy nagłówek X-Frame-Options pod kątem tej intencji. |
| nosniff | Czy typy zasobów są obsługiwane poprawnie, z pasującą instrukcją przeglądarki przeciwko sniffingowi MIME? |
| Referrer policy | Domyślne ustawienia przeglądarki, zasady dotyczące metadanych i poszczególne linki również mają znaczenie. |
| Uprawnienia | Jakich funkcji przeglądarki potrzebuje ta strona? Narzędzie kamery musi zachować uprawnienia potrzebne do działania. |
Odczytywanie ustaleń dotyczących zawartości mieszanej w przeglądarce
An HTTP Wyszukiwanie obrazu lub formularza HTTPS Niektóre żądania zasobów mogą być uaktualnione lub zablokowane przez przeglądarkę. Nasze sprawdzanie nie pobiera ich, nie podąża za ich przekierowaniami, nie sprawdza, czy są one poprawne, ani nie sprawdza, czy są one poprawne. CSS Otwórz narzędzia deweloperskie własnej strony, aby potwierdzić, co faktycznie się dzieje, a następnie przetestuj ważne podróże użytkowników.
Dlaczego nie możemy certyfikować poprawek oprogramowania
Publiczna wartość Serwer lub X-Powered-By jest deklaracją. Może być ukryta, zmieniona, obsługiwana przez serwer proxy lub zachowana po tym, jak dostawca backportuje poprawkę. Ukrycie jej zmniejsza ujawnienie, ale nie łatuje oprogramowania. Aby ocenić zalecenie dotyczące PHP lub wtyczki, sprawdź zainstalowany pakiet, konfigurację i wskazówki dostawcy u hosta lub administratora. Ogólna publiczna strona nie może ustalić, czy nazwana luka jest obecna lub naprawiona.
Stosuj zmierzony proces zmiany
- Sprawdź, czy odpowiedź należy do zamierzonej strony, a nie do wyzwania botów lub ekranu błędu.
- Przejrzyj każdą obserwację pod kątem celu strony.
- Dokonaj jednej zmiany konfiguracji w przygotowaniu i przetestuj nawigację, formularze, media i integracje zewnętrzne.
- W stosownych przypadkach przejrzyj raporty dostawcy usług CSP przed wprowadzeniem bardziej rygorystycznych zasad.
- Zapisz zmianę i przetestuj ją ponownie. Zachowaj poprawki, kopie zapasowe i bezpieczeństwo konta jako osobne obowiązki.
Czysta odpowiedź publiczna może współistnieć z błędami w prywatnej aplikacji; brakujący opcjonalny nagłówek nie jest automatycznie podatnością na ataki.Czysta odpowiedź publiczna może współistnieć z błędami w prywatnej aplikacji; brakujący opcjonalny nagłówek nie jest automatycznie podatnością na ataki.
Referencje techniczne: Przewodnik CSP MDN, HSTS, nosniff oraz Framing controls.