Безпека27 правил:чи каже правду ваш замок.
HTTPS, сертифікати, заголовки безпеки та файли cookie.
HTTPS
- Форма оголошує надсилання через HTTP, або чутливі поля є на сторінці HTTPФорма з придатним елементом керування оголошує action, що розв’язується до http://, або сторінка, що віддається через HTTP, містить чутливі поля введення.У звіті: Pages declare insecure form transport or sensitive controls on HTTP
- Захищена адреса проходить через незахищенуВерсія головної сторінки на HTTPS переспрямовує на адресу з http:// на початку або проходить через таку дорогою.У звіті: HTTPS redirects through HTTP
- Захищена сторінка називає основною незахищену адресуСторінка на HTTPS оголошує канонічною адресу з http:// на початку.У звіті: HTTPS page canonicalizes to HTTP
- Захищена сторінка посилається на активний контент за адресами http://Сирий HTML сторінки на HTTPS посилається на скрипт, таблицю стилів, фрейм, object чи embed за адресою з http:// на початку.У звіті: Active mixed content
- Версія вашого сайту з http:// не переспрямовує на https://Версія головної сторінки на звичайному HTTP віддає контент, а не переспрямовує на HTTPS.У звіті: HTTP does not redirect to HTTPS
- Захищена сторінка посилається на зображення чи медіа за адресами http://Сирий HTML сторінки на HTTPS посилається на зображення, аудіо, відео чи джерело медіа за адресою з http:// на початку.У звіті: Passive mixed content
- Посилання та списки досі вказують на адреси http://Внутрішні посилання, hreflang чи записи карти сайту на сайті з HTTPS досі використовують адреси з http:// на початку.У звіті: HTTPS pages still reference http:// URLs in links, hreflang or sitemaps
Сертифікати та TLS
- Сертифікат TLS не вдалося перевіритиЗаписана перевірка сертифіката TLS виявила збій для джерела сайту або перевіреної адреси.У звіті: Invalid or expired TLS certificate
- Сервер приймає з’єднання TLS 1.0 або TLS 1.1Ваш сервер прийняв тестове з’єднання, яке пропонувало лише TLS 1.0 або лише TLS 1.1.У звіті: Server still accepts TLS 1.0 / TLS 1.1 handshakes
- Сервер приймає застарілий набір шифрівТестове рукостискання з перевіркою сертифіката, що пропонувало повний набір із чотирьох застарілих наборів шифрів, узгодило один із них.У звіті: Server accepts obsolete cipher suites (RC4 / 3DES / EXPORT / NULL)
- Сервер не пропонує TLS 1.3Ваш сервер узгоджує TLS 1.2 у звичайних з’єднаннях і відхилив тестове з’єднання, яке пропонувало лише TLS 1.3.У звіті: TLS 1.3 upgrade available — origin tops out at TLS 1.2
HSTS
- Сторінки HTTPS не надсилають заголовка HSTSВідповіді HTTPS із вибірки не містять заголовка Strict-Transport-Security.У звіті: HTTPS origin serves no Strict-Transport-Security header
- HSTS просить попереднього завантаження, але не виконує перевіреної вимогиЗаголовок Strict-Transport-Security просить preload, тоді як одна з перевірених вимог попереднього завантаження не виконується.У звіті: HSTS preload declared but preload requirements unmet
- HSTS max-age менший за один рікЗахоплений max-age заголовка Strict-Transport-Security менший за 31 536 000 секунд.У звіті: Strict-Transport-Security max-age below one year
Політика безпеки вмісту (CSP)
- Політика скриптів оголошує unsafe-inline без nonce, хешу чи strict-dynamicУ захопленій політиці дієва директива скриптів перелічує 'unsafe-inline' без nonce, хешу чи strict-dynamic у тій самій директиві.У звіті: CSP allows 'unsafe-inline' scripts without nonce or hash
- Сторінки не мають Content Security PolicyЗа два завантаження не знайдено ні заголовка Content-Security-Policy, ні відповідного метатега.У звіті: Pages served without any Content-Security-Policy
- Content Security Policy містить unsafe-evalЗахоплена політика Content Security Policy перелічує 'unsafe-eval' для джерел скриптів.У звіті: CSP allows 'unsafe-eval' in script sources
- Політиці Content Security Policy бракує обмежень для об’єктів або базової адресиЗахопленій політиці Content Security Policy бракує і object-src, і його резервного default-src, або в ній немає base-uri.У звіті: CSP leaves object-src or base-uri unrestricted
- Content Security Policy перелічує широкі джерела скриптів чи об’єктівЗахоплена політика Content Security Policy перелічує *, http:, https: або data: для скриптів чи об’єктів.У звіті: CSP script/object sources allow wildcard or whole-scheme origins
- CSP лише для звітування не має чинного заголовка відповідіНепорожня політика Content-Security-Policy-Report-Only наявна без чинного заголовка відповіді Content-Security-Policy.У звіті: CSP Report-Only header without an enforcing CSP response header
Інші заголовки
- Політики referrer немає, або вона надсилає повні адресиСторінка не оголошує Referrer-Policy або оголошує таку, що надсилає повні адреси іншим джерелам.У звіті: Referrer-Policy absent or leaks full URLs cross-origin
- HTML-сторінкам в аудиті бракує nosniffЗа два завантаження відповіді не містять X-Content-Type-Options: nosniff.У звіті: Responses without X-Content-Type-Options: nosniff
- Сторінки не надсилають заголовків щодо вбудовування у фреймиЗахоплена відповідь не має ні заголовка X-Frame-Options, ні директиви frame-ancestors політики Content-Security-Policy в заголовку.У звіті: Pages lack X-Frame-Options and CSP frame-ancestors protection
- Немає заголовків ізоляції між джереламиВідповіді з вибірки не містять жодного з Cross-Origin-Opener-Policy, Cross-Origin-Embedder-Policy і Cross-Origin-Resource-Policy.У звіті: No cross-origin isolation headers (COOP/COEP/CORP) on the origin
- Заголовки сервера називають версії програмного забезпеченняЗаголовок Server, X-Powered-By чи X-AspNet-Version містить номер версії.У звіті: Server headers disclose software versions
- X-Frame-Options суперечить frame-ancestors або недійсний поруч із нимТам, де чинний заголовок CSP оголошує frame-ancestors, захоплений X-Frame-Options недійсний або не узгоджується з його розв’язаним результатом щодо вбудовування у фрейми.У звіті: X-Frame-Options and frame-ancestors disagree