Inspektor nagłówka bezpieczeństwa
Spot brakujące lub słabe nagłówki bezpieczeństwa reagowania i zrozumieć, co każdy robi.
Jak mierzy
- Nagłówki odczytuje się z odpowiedzi końcowej po przekierowaniu.
- Wyniki są ograniczone do obecności i kilku dobrze znanych słabych wzorców, każdy z wyjaśnieniem.
Granice
- Same nagłówki nie potwierdzają, że strona jest bezpieczna, a brakujące nagłówki nie dowodzą, że jest podatna. To przegląd konfiguracji, a nie ocena wrażliwości.
- CSP wymaga testów na własnych stronach; rygorystyczna polityka może złamać legalną funkcjonalność.
Rozwiązywanie problemów
- CSP oznaczone jako słabe
- Polityka pozwala unsafe- inline lub dzikiej karty. Przesuń się stopniowo do ences lub hash, używając najpierw trybu report- tylko.