Как пользоваться: Проверка заголовков безопасности
- Введите URL сайта и нажмите Проверить заголовки. Мы проходим по редиректам и анализируем финальный ответ.
- Изучите оценку и таблицу по каждому заголовку: для каждого неудачного заголовка указаны риск и рекомендуемое значение.
- Выберите платформу (Nginx, Apache, Netlify, Vercel или Cloudflare) и скопируйте сгенерированный фрагмент для недостающих заголовков.
- Разверните изменения и проверьте сайт ещё раз. Сначала протестируйте строгий Content-Security-Policy в режиме
Report-Only, чтобы не сломать скрипты.
Что такое HTTP-заголовки безопасности?
Заголовки безопасности — это HTTP-заголовки ответа, которые указывают браузеру включить встроенные механизмы защиты: всегда использовать HTTPS, не отображать страницу внутри чужого фрейма, запускать скрипты только из доверенных источников, не угадывать типы файлов и ограничивать утечку данных через заголовок Referer. Их добавление ничего не стоит, в большинстве случаев не требует изменений в коде и закрывает целые классы атак: кликджекинг, понижение протокола до HTTP, многие варианты межсайтового скриптинга (XSS).
Как рассчитывается оценка
Каждый из шести заголовков приносит баллы. Сумма (0–100) переводится в оценку: A+ от 90, A от 75, B от 60, C от 45, D от 30, E от 15, в остальных случаях F. Сайты, не работающие по HTTPS, ограничены 20 баллами.
| Заголовок | Баллы | Защищает от | Рекомендуемое значение |
|---|---|---|---|
| Strict-Transport-Security | 25 | Понижения до HTTP, SSL-стриппинга, кражи cookie в публичных Wi-Fi сетях | max-age=31536000; includeSubDomains (для прохождения проверки — не менее 180 дней) |
| Content-Security-Policy | 25 | XSS, внедрения данных, нежелательных сторонних скриптов | Политика, подобранная под ваш сайт, например, начиная с default-src 'self' |
| X-Content-Type-Options | 15 | MIME-сниффинга, который превращает загруженные файлы в исполняемые скрипты | nosniff |
| X-Frame-Options | 15 | Кликджекинга через скрытые iframe | SAMEORIGIN или CSP frame-ancestors 'self' |
| Referrer-Policy | 10 | Утечки полных URL (с токенами или поисковыми запросами) на другие сайты | strict-origin-when-cross-origin |
| Permissions-Policy | 10 | Встроенного контента, который использует камеру, микрофон или геолокацию без необходимости | camera=(), microphone=(), geolocation=() |
Мы также отмечаем заголовки, раскрывающие информацию, например Server: Apache/2.4.41 или X-Powered-By: PHP/8.1. Точные номера версий помогают атакующим находить известные уязвимости, поэтому их лучше убрать или сократить.
Добавление заголовков на популярных платформах
После проверки инструмент создаёт фрагменты только с теми заголовками, которых не хватает: add_header … always; для Nginx, Header always set для Apache (.htaccess или vhost), файл _headers для Netlify и Cloudflare Pages, массив headers в vercel.json, а также Cloudflare Worker или Transform Rule для сайтов за Cloudflare.
Webflow, Squarespace, Wix и похожие хостед-конструкторы, как правило, не позволяют задавать собственные заголовки ответа на стандартных тарифах. Обычное решение — поставить обратный прокси перед сайтом: например, пропустить домен через Cloudflare и добавить заголовки с помощью Transform Rule или Worker.
Внедряйте CSP и HSTS аккуратно
Строгая Content-Security-Policy может заблокировать аналитику, чаты или встроенные скрипты. Сначала включите её как Content-Security-Policy-Report-Only, следите за нарушениями в консоли браузера и ужесточайте политику перед включением. Браузеры кэшируют HSTS на весь срок max-age, поэтому, если поддоменам ещё может понадобиться HTTP, начните с короткого значения (например, одного дня). Остальные заголовки ответа проверьте с помощью HTTP Header Checker, а сертификаты — с помощью SSL Checker.
Также ищут как: проверка hsts, проверка csp, проверка http заголовков, x-frame-options, content security policy, securityheaders.
Инструменты, которые хорошо сочетаются с Проверка заголовков безопасности
- Генератор CORS-заголовков — Видите «has been blocked by CORS policy»?
- Проверка редиректов — Проследите URL шаг за шагом, чтобы увидеть каждый редирект, его код статуса и время ответа.
- SEO-чекер и аудит сайта — Вставьте URL, и мы выполним до 70 проверок SEO на странице и полный аудит сайта: скорость по Lighthouse, заголовки безопасности и SSL, структурированные данные, битые ссылки, robots.txt и AI-краулеры, базовую доступность, трекинг и согласие, SPF/DKIM/DMARC и срок действия домена.
- Тест скорости страницы — Запустите Google Lighthouse для любого URL в мобильном или десктопном режиме.
Часто задаваемые вопросы
Влияют ли заголовки безопасности на SEO?
Нужен ли ещё X-XSS-Protection?
X-XSS-Protection: 0.Как добавить заголовки безопасности на сайт Webflow?
Может ли Content-Security-Policy сломать мой сайт?
Content-Security-Policy-Report-Only, исправьте зафиксированные нарушения и только потом переходите к заголовку, который применяется.