Cách dùng Kiểm tra Security Headers
- Nhập URL website rồi bấm Quét headers. Chúng tôi theo dõi các redirect và phân tích phản hồi cuối cùng.
- Xem điểm và bảng chi tiết từng header. Mỗi header bị lỗi sẽ giải thích rủi ro và giá trị được khuyến nghị.
- Chọn nền tảng của bạn (Nginx, Apache, Netlify, Vercel hoặc Cloudflare) rồi sao chép đoạn cấu hình tạo sẵn cho các header còn thiếu.
- Triển khai, sau đó quét lại. Hãy thử Content-Security-Policy nghiêm ngặt ở chế độ
Report-Onlytrước để không làm hỏng script.
HTTP security headers là gì?
Security headers là các header trong phản hồi HTTP, giúp trình duyệt bật những lớp bảo vệ có sẵn: luôn dùng HTTPS, từ chối hiển thị trang bên trong một khung (frame) độc hại, chỉ chạy script từ nguồn đáng tin cậy, không tự đoán loại file, và hạn chế thông tin bị rò rỉ qua header Referer. Thêm chúng hầu như không tốn chi phí, trong đa số trường hợp không cần sửa code, và giúp chặn cả một nhóm tấn công như clickjacking, hạ cấp giao thức và nhiều payload cross-site scripting (XSS).
Cách tính điểm
Mỗi trong sáu header có một số điểm riêng. Tổng điểm (0–100) được quy đổi thành xếp hạng: A+ từ 90 điểm, A từ 75, B từ 60, C từ 45, D từ 30, E từ 15, còn lại là F. Website không phục vụ qua HTTPS bị giới hạn tối đa 20 điểm.
| Header | Điểm | Bảo vệ khỏi | Giá trị khuyến nghị |
|---|---|---|---|
| Strict-Transport-Security | 25 | Hạ cấp xuống HTTP, SSL stripping, đánh cắp cookie trên Wi-Fi công cộng | max-age=31536000; includeSubDomains (ít nhất 180 ngày để đạt) |
| Content-Security-Policy | 25 | XSS, chèn dữ liệu, script bên thứ ba không mong muốn | Chính sách phù hợp với website của bạn, ví dụ bắt đầu từ default-src 'self' |
| X-Content-Type-Options | 15 | MIME sniffing biến file upload thành script có thể thực thi | nosniff |
| X-Frame-Options | 15 | Clickjacking qua iframe ẩn | SAMEORIGIN, hoặc CSP frame-ancestors 'self' |
| Referrer-Policy | 10 | Rò rỉ toàn bộ URL (kèm token hoặc từ khóa tìm kiếm) sang website khác | strict-origin-when-cross-origin |
| Permissions-Policy | 10 | Nội dung nhúng lạm dụng camera, micro, vị trí | camera=(), microphone=(), geolocation=() |
Chúng tôi cũng đánh dấu các header làm lộ thông tin như Server: Apache/2.4.41 hoặc X-Powered-By: PHP/8.1. Số phiên bản chính xác giúp kẻ tấn công tìm lỗ hổng đã biết, vì vậy hãy xóa hoặc rút gọn chúng.
Thêm header trên các nền tảng phổ biến
Sau khi quét, công cụ tạo đoạn cấu hình chỉ gồm những header bạn đang thiếu: add_header … always; cho Nginx, Header always set cho Apache (.htaccess hoặc vhost), file _headers cho Netlify và Cloudflare Pages, mảng headers trong vercel.json, và Cloudflare Worker hoặc Transform Rule cho website đặt sau Cloudflare.
Webflow, Squarespace, Wix và các trình tạo website được host sẵn tương tự thường không cho phép đặt response header tùy chỉnh ở gói tiêu chuẩn. Giải pháp phổ biến là đặt reverse proxy trước website, ví dụ đưa tên miền qua Cloudflare rồi thêm header bằng Transform Rule hoặc Worker.
Triển khai CSP và HSTS cẩn thận
Content-Security-Policy quá chặt có thể chặn analytics, widget chat hoặc script inline. Hãy triển khai trước dưới dạng Content-Security-Policy-Report-Only, theo dõi console của trình duyệt xem có vi phạm nào, rồi siết chặt chính sách trước khi bật thực thi. Trình duyệt lưu HSTS trong suốt khoảng max-age, vì vậy nếu subdomain vẫn cần HTTP thường, hãy bắt đầu với giá trị ngắn (ví dụ một ngày). Với phần còn lại của phản hồi, hãy kiểm tra từng header bằng HTTP Header Checker và xác minh chứng chỉ bằng SSL Checker.
Cũng được tìm dưới tên: kiểm tra hsts, kiểm tra csp, http headers bảo mật, x-frame-options là gì, content security policy, quét header bảo mật, securityheaders.
Các công cụ dùng kèm tốt với Kiểm tra Security Headers
- Tạo & Kiểm tra CORS Header — Đang gặp “has been blocked by CORS policy”?
- Kiểm tra Redirect — Theo dõi URL từng bước để xem mọi redirect, mã trạng thái và thời gian phản hồi, đồng thời kiểm tra các phiên bản http, https, www và không www của tên miền có cùng kết thúc ở một địa chỉ chuẩn (canonical) hay không.
- Kiểm tra SEO & Audit website — Dán một URL để chạy tối đa 70 kiểm tra SEO on-page cùng audit toàn bộ website: tốc độ Lighthouse, header bảo mật & SSL, dữ liệu có cấu trúc, liên kết hỏng, robots.txt & AI crawler, kiểm tra cơ bản về khả năng truy cập, tracking & consent, SPF/DKIM/DMARC và hạn domain.
- Kiểm tra tốc độ trang — Chạy Google Lighthouse trên bất kỳ URL nào, cho cả di động lẫn máy tính.
Câu hỏi thường gặp
Security headers có ảnh hưởng đến SEO không?
X-XSS-Protection có còn cần thiết không?
X-XSS-Protection: 0.Làm sao thêm security headers cho website Webflow?
Content-Security-Policy có làm hỏng website của tôi không?
Content-Security-Policy-Report-Only, sửa các vi phạm được báo cáo, rồi chuyển sang header thực thi.