Проверка HTTP-заголовков безопасности

Enter a domain or website URL to analyse.

Инструмент запрашивает главную страницу домена и показывает, какие HTTP-заголовки безопасности сервер отдаёт на самом деле. Когда их нет, браузер по-прежнему разрешает встраивать сайт в чужой фрейм, угадывать тип файла и возвращаться на незашифрованное соединение.

Что проверяется

Из реального ответа сервера читаются шесть заголовков, и каждый выводится вместе со значением — так видно не только наличие, но и сама настройка. Страница сначала запрашивается по HTTPS и лишь при отсутствии ответа — по HTTP.

Strict-Transport-Security — заставляет браузер оставаться на HTTPS
Content-Security-Policy — ограничивает, какие скрипты и ресурсы разрешено загружать
X-Frame-Options и Referrer-Policy — встраивание во фрейм и утечка адреса-источника
X-Content-Type-Options и Permissions-Policy — подмена типа файла и доступ к функциям браузера
Смешанный контент: файлы, которые на HTTPS-странице подключены через http://

Считайте результат отправной точкой, а не оценкой: политика, разрешающая всё подряд, формально присутствует, но почти не защищает. Сверьте показанные значения с тем, что действительно нужно сайту, поправьте их в настройках веб-сервера или CDN и запустите проверку заново.

Частые вопросы

Что проверяет инструмент Security Headers Checker?

Он запрашивает главную страницу домена и показывает, какие защитные HTTP-заголовки отдаёт сервер: HSTS, Content-Security-Policy, X-Frame-Options, Referrer-Policy и другие. Дополнительно он перечисляет ресурсы, которые всё ещё загружаются по незашифрованному HTTP.

Почему заголовки безопасности важны?

Именно из-за отсутствующих заголовков браузеры допускают кликджекинг, MIME-сниффинг или переход на незашифрованное соединение даже на внешне благополучных сайтах. Правильные заголовки принуждают к HTTPS, ограничивают встраивание страницы во фреймы и контролируют утечку данных.

Проверка бесплатна и нужен ли аккаунт?

Да, проверка полностью бесплатна, регистрация не требуется. Введите домен и запускайте сканирование сколько угодно раз — для своих сайтов или любых публичных сайтов, с которыми хотите сравниться.

Меняет ли проверка что-то на моём сайте?

Нет, инструмент работает только на чтение. Он отправляет странице обычный запрос, как любой браузер, и анализирует полученные заголовки ответа. На вашем сервере ничего не устанавливается, не изменяется и не сохраняется.

Что проверяется

Strict-Transport-Security — заставляет браузер оставаться на HTTPS
Content-Security-Policy — ограничивает, какие скрипты и ресурсы разрешено загружать
X-Frame-Options и Referrer-Policy — встраивание во фрейм и утечка адреса-источника
X-Content-Type-Options и Permissions-Policy — подмена типа файла и доступ к функциям браузера
Смешанный контент: файлы, которые на HTTPS-странице подключены через http://