Skaner nagłówków bezpieczeństwa
Wystarczy podać adres strony. Nasz serwer jednokrotnie pobiera stronę, a przeglądarka ocenia jej nagłówki bezpieczeństwa, pliki cookie i konfigurację TLS, z poprawką dla każdego wyniku.
Nasz serwer jednokrotnie odpytuje wpisany adres i zwraca jego nagłówki oraz dane certyfikatu. Nic nie jest przechowywane.
Jak działa skanowanie
Nasz serwer jednokrotnie odpytuje adres, tak jak zrobiłaby to przeglądarka, i podąża za maksymalnie pięcioma przekierowaniami. Sprawdza wyłącznie publiczne strony na standardowych portach i odmawia dostępu do adresów prywatnych, lokalnych i zastrzeżonych, także osiągniętych przez przekierowanie. Zwraca nagłówki odpowiedzi i dane TLS, a ocenę wystawia Państwa przeglądarka.
Ocena obejmuje Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, ochronę przed osadzaniem w ramkach, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy oraz przekierowanie z http na https. Skaner wskazuje też numery wersji w nagłówkach, pliki cookie bez Secure, przestarzałe nagłówki, stare wersje TLS i problemy z certyfikatem.
Jak obliczana jest ocena
Kontrole są warte łącznie 100 punktów, z potrąceniami za wycieki informacji, niezabezpieczone pliki cookie oraz słabości certyfikatu lub TLS. 85 punktów lub więcej to ocena A; A+ wymaga dodatkowo HSTS z includeSubDomains, CSP bez słabości i braku ostrzeżeń. Bez HTTPS lub z certyfikatem odrzucanym przez przeglądarki ocena wynosi F. Zestawienie pod każdym wynikiem pokazuje, skąd wziął się każdy punkt.
Pytania
Co serwer robi z wpisanym adresem?
Jednokrotnie odpytuje stronę, odczytuje nagłówki odpowiedzi i certyfikat, a następnie odsyła je do przeglądarki. Nic nie jest przechowywane, a skaner przedstawia się jako AngelForceScanner w nagłówku User-Agent.
Czy można skanować stronę wewnętrzną lub testową?
Tylko jeśli jest dostępna z internetu na standardowych portach. Skaner odmawia dostępu do adresów prywatnych, lokalnych i zastrzeżonych, aby nie można go było użyć do badania sieci wewnętrznych.
Dlaczego liczba skanowań jest ograniczona?
Każde skanowanie wysyła prawdziwe żądania do badanej strony, dlatego dopuszczamy sześć skanowań na dziesięć minut z jednego połączenia, aby usługa była dostępna dla wszystkich i aby zapobiegać nadużyciom.
Dlaczego inny skaner daje inną ocenę?
Każdy skaner inaczej waży nagłówki. Wyniki i zestawienie punktów pokazują dokładnie, co sprawdziliśmy, a to ma większe znaczenie niż sama litera.
Potrzebują Państwo więcej, niż pokaże narzędzie?
Narzędzie sprawdza jedną rzecz. Nasi konsultanci patrzą na całość.
Testy penetracyjnePowiązane artykuły
-
Praktyczna lista kontrolna bezpieczeństwa WordPressa
Dwanaście kroków zabezpieczania WordPressa w rozsądnej kolejności: od aktualizacji i porzuconych wtyczek po 2FA, XML-RPC, kopie zapasowe, integralność plików i WAF.
-
Nagłówki bezpieczeństwa, które mają znaczenie, i te do wycofania
Praktyczny przewodnik: CSP z nonce, HSTS i preload, frame-ancestors, Referrer-Policy, Permissions-Policy i COOP, z przykładami i listą nagłówków do usunięcia.
-
Jak projektować i testować bezpieczne wgrywanie plików
Lista kontroli dla funkcji uploadu plików na podstawie OWASP Cheat Sheet, z tabelą testów do wykonania na każdym endpoincie uploadu.