Scanner di header di sicurezza e TLS: valuti il sito

Come funziona l’analisi

Il nostro server richiede l’indirizzo una sola volta, come farebbe un browser, e segue fino a cinque reindirizzamenti. Verifica solo siti web pubblici sulle porte standard e rifiuta indirizzi privati, locali e riservati, anche quando vengono raggiunti tramite un reindirizzamento. Restituisce gli header di risposta e i dettagli TLS; la valutazione la esegue il suo browser.

Il voto tiene conto di Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, protezione dal framing, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy e del reindirizzamento da http a https. Segnala inoltre numeri di versione negli header, cookie senza Secure, header obsoleti, versioni TLS datate e problemi del certificato.

Come viene calcolato il voto

I controlli valgono in tutto 100 punti, con detrazioni per fughe di informazioni, cookie non sicuri e debolezze del certificato o di TLS. Con 85 punti o più si ottiene A; per A+ servono anche HSTS con includeSubDomains, una CSP senza debolezze e nessun avviso. Senza HTTPS, o con un certificato rifiutato dai browser, il voto è F. Il dettaglio sotto ogni risultato mostra da dove proviene ciascun punto.

Domande frequenti

Cosa fa il vostro server con l’indirizzo che inserisco?

Richiede la pagina una sola volta, legge gli header di risposta e il certificato e li rimanda al suo browser. Non viene conservato nulla, e lo scanner si identifica come AngelForceScanner nell’header User-Agent.

Posso analizzare un sito interno o di staging?

Solo se è raggiungibile da internet sulle porte standard. Lo scanner rifiuta indirizzi privati, locali e riservati, così non può essere usato per sondare reti interne.

Perché il numero di analisi è limitato?

Ogni analisi effettua richieste reali verso il sito di destinazione, quindi consentiamo sei analisi ogni dieci minuti per connessione, per garantire un uso equo del servizio e prevenire abusi.

Perché un altro scanner assegna un voto diverso?

Ogni scanner pesa gli header in modo diverso. I rilievi e il dettaglio del punteggio mostrano esattamente cosa abbiamo verificato, e questo conta più della lettera.