Praktisk teknisk support
Förstå en offentlig webbplatssäkerhetskontroll
Använd observerbara bevis för att välja en förnuftig nästa kontroll.En grön header badge kan inte fastställa att en hel webbplats är säker.
Senast granskad: 1 år sedan
Vad vi kan observera
Webbplatssäkerhetskontrollen Den läser ett offentligt svar och webbplatsens genomsökningsinstruktioner. Den kontrollerar den slutliga anslutningen, valda HTTP-huvuden och en begränsad uppsättning resursreferenser och formuläråtgärder i returnerad HTML.Den loggar inte in, skickar inte formulär, kör inte webbplatsskript och testar inte ett utnyttjande.
HTTPS är nödvändigt bevis, inte en säkerhetsdom
Ett verifierat certifikat hjälper till att upprätta en krypterad anslutning till det begärda värdnamnet.En skadlig webbplats kan också använda HTTPS.Vår kontroll granskar inte TLS-konfiguration över protokoll, fastställer operatörens ärlighet eller inspekterar privata programdata.
HSTS är en separat instruktion i webbläsaren för att föredra HTTPS efter att ha lärt sig policyn. Börja med att arbeta med HTTPS innan du lägger till en lång HSTS-livslängd.Om du inkluderar underdomäner eller begär förinläsning kan det påverka tjänster bortom den sida du redigerar. Kopiera inte en policy utan att kontrollera om den täcker detta.
Matcha kontrollen till dess syfte
| Kontroll | En användbar fråga |
|---|---|
| Säkerhetspolicy för innehåll | Begränsar policyn de resurser som applikationen verkligen behöver?Enbart närvaro visar inte att den blockerar den aktuella attacken. |
| Begränsningar för inramning | Bör den här sidan bäddas in? Granska CSP frame-ancestors och eventuella X-Frame-Options-rubriker mot denna avsikt. |
| nosniff | Serveras resurstyper korrekt, med en matchande webbläsar-instruktion mot MIME-sniffning? |
| Policy för hänvisningar | Webbläsarens standardinställningar, metapolicyer och enskilda länkar spelar också en roll, men det är inte allt. |
| Policy för behörigheter | Vilka webbläsarfunktioner behöver den här sidan?Ett kameraverktyg måste behålla de behörigheter som behövs för att fungera. |
Läsa resultat med blandat innehåll i en webbläsare
En HTTP-bild eller formulärdestination i ett HTTPS-dokument är värt att undersöka. Vissa resursförfrågningar kan uppgraderas eller blockeras av en webbläsare. Vår kontroll hämtar inte dem, följer inte deras omdirigeringar, inspekterar inte CSS eller kör inte skriptskapade förfrågningar. Öppna utvecklarverktygen på din egen sida för att bekräfta vad som faktiskt händer och testa sedan de viktiga användarresorna.
Varför vi inte kan certifiera programkorrigeringar
Ett publikt Server- eller X-Powered-By-värde är en deklaration. Det kan döljas, ändras, serveras av en proxy eller behållas efter att en leverantör bakåtanpassat en rättelse. Att dölja det minskar avslöjandet men korrigerar inte programvara. För att bedöma ett PHP- eller plugin-råd, kontrollera det installerade paketet, konfigurationen och leverantörens vägledning med värden eller administratören. En generisk offentlig sida kan inte fastställa om en namngiven sårbarhet finns eller är rättad.
Använd en uppmätt förändringsprocess
- Kontrollera att svaret tillhör den avsedda sidan, snarare än en bot-utmaning eller felskärm.
- Granska varje observation mot sidans syfte.
- Gör en konfigurationsändring i staging och testa navigering, formulär, media och externa integreringar.
- Granska CSP-rapporter där så är lämpligt innan du inför en strängare policy.
- Registrera ändringen och testa om. Behåll patchar, säkerhetskopior och kontosäkerhet som separata ansvarsområden.
Kontrollen märker ofullständiga läsningar och utfärdar inte ett övergripande ”säkert” betyg. Ett rent offentligt svar kan samexistera med privata applikationsfel. En saknad valfri rubrik är inte automatiskt en sårbarhet.
Tekniska referenser: MDN:s CSP-guide, HSTS, nosniff och inramningskontroller.