Inspecteur beveiligingskop
Spot ontbrekende of zwakke respons-beveiliging headers en begrijpen wat elk doet.
Hoe het meet
- Headers worden gelezen uit de uiteindelijke reactie na redirects.
- Bevindingen zijn beperkt tot aanwezigheid en een paar bekende zwakke patronen, elk met een verklaring.
Grenswaarden
- Kopteksten alleen stellen niet vast dat een site veilig is, en ontbrekende headers bewijzen niet dat het kwetsbaar is. Dit is een configuratie-evaluatie, geen kwetsbaarheidsbeoordeling.
- Een CSP moet getest worden op uw eigen pagina's; een streng beleid kan legitieme functionaliteit breken.
Problemen oplossen
- CSP gemarkeerd zwak
- Het beleid maakt onveilig-inline of wildcards. Verplaatsen naar nonces of hashes geleidelijk, met behulp van alleen-rapport modus eerst.