实用的技术支持
了解公共网站安全检查
使用可观察的证据来选择合理的下一次检查。 绿色标题徽章无法确定整个网站是否安全。
上次审查日期：
我们可以观察到什么
网站安全检查器 读取一个公共响应和站点的抓取指令,检查最终连接、选定的 HTTP 标头以及返回的 HTML 中有界的资源引用和表单操作。 它不会登录、提交表单、执行网站脚本或测试漏洞。
HTTPS 是必要的证据,而不是安全判断
经过验证的证书有助于建立与请求的主机名的加密连接,恶意网站也可以使用 HTTPS。 我们的检查不会审核跨协议的 TLS 配置、确定运营商的诚信或检查私有应用程序数据。
HSTS 是一种单独的浏览器指令,在学习策略后优先使用 HTTPS。 在添加较长的 HSTS 寿命之前,首先使用 HTTPS。 包含子域或请求预加载可能会影响您正在编辑的页面以外的服务;不要在未检查覆盖范围的情况下复制策略。
将控件与其用途匹配
| 控制 | 有用的问题 |
|---|---|
| 内容安全政策 | 该策略是否限制了应用程序真正需要的源? 仅仅存在并不能表明它阻止了相关攻击。 |
| 框架限制 | 是否应该嵌入此页面? 检查 CSP frame-ancestors 和任何 X-Frame-Options 标头是否符合此意图。 |
| 嗅鼻子 | 资源类型是否正确提供,并且具有防止 MIME 嗅探的匹配浏览器指令? |
| 推荐人政策 | 目的地应该接收多少 URL 信息? 浏览器默认值、元策略和单个链接也很重要。 |
| 权限政策 | 此页面需要哪些浏览器功能? 相机工具必须保留工作所需的权限。 |
在浏览器中阅读混合内容结果
HTTPS 文档中的 HTTP 图像或表单目标值得调查。 某些资源请求可能会被浏览器升级或阻止,我们的检查不会提取这些请求、跟随其重定向、检查 CSS 或运行脚本创建的请求。 打开您自己的网页的开发人员工具以确认实际发生的情况,然后测试重要的用户旅程。
为什么我们无法认证软件补丁
公共服务器或 X-Powered-By 值是一个声明。 它可以被隐藏、更改、由代理服务器提供或在供应商回移修复后保留。 隐藏它可以减少披露,但不会修补软件。 要评估 PHP 或插件建议,请与主机或管理员检查安装的软件包、配置和供应商指南。
使用衡量变更流程
- 检查响应是否属于预期页面,而不是机器人程序挑战或错误屏幕。
- 根据页面的目的来审查每个观察结果。
- 只需在预备和测试导航、表单、媒体和外部集成中进行一次配置更改即可。
- 在实施更严格的政策之前，酌情审查CSP报告。
- 记录更改并重新测试。 将修补、备份和帐户安全作为单独的责任。
清洁的公共响应可以与私有应用程序缺陷共存;缺少可选标头并不自动构成漏洞。