فاحص رؤوس الأمان
يقيّم فاحص رؤوس الأمان المجاني هذا عنوان URL الخاص بك ويصنف ستة رؤوس استجابة من 100 برسالة من A إلى F: Strict-Transport-Security و Content-Security-Policy و X-Content-Type-Options و X-Frame-Options و Referrer-Policy و Permissions-Policy. تأتي كل فجوة مع سطر جاهز للنسخ واللصق لـ Nginx و Apache، حتى تتمكن من إصلاحها في دقائق.
Security Headers Checker
Technical SEO
عن هذه الأداة
رؤوس الأمان هي تعليمات قصيرة يرسلها خادمك مع كل صفحة تخبر المتصفح كيف يتصرف بصرامة. يمكنها فرض HTTPS ومنع إطار صفحاتك من قبل مواقع أخرى وحظر المتصفح من تخمين أنواع الملفات وتحديد البرامج النصية التي قد تعمل وتحديد مقدار عنوانك المشترك عندما ينقر الزائر على رابط. معظمها يكلف سطر واحد من تكوين الخادم.
يجلب الفاحص الصفحة ويسجل ستة رؤوس: Strict-Transport-Security (20 نقطة) و Content-Security-Policy (25) و X-Content-Type-Options (15) وحماية النقر من خلال X-Frame-Options أو frame-ancestors (15) و Referrer-Policy (10) و Permissions-Policy (15). تحصل القيمة الضعيفة على نصف النقاط. المجموع يعطي الدرجة: A من 90، B من 75، C من 60، D من 40، E من 20 و F أقل من ذلك.
تقيس الدرجة أي رؤوس موجودة وليست ضعيفة بشكل واضح، وليس ما إذا كان موقعك آمناً. يمكن لموقع أن يسجل A ولا يزال يحتوي على كود ضعيف، وتتم مراجعة Content-Security-Policy للتحقق من الوجود والضعف الواضح، وليس اختباره مقابل برامجك النصية. أضف الرؤوس واحداً تلو الآخر واختبر الموقع، خاصة Content-Security-Policy، الذي قد يحظر البرامج النصية التي تعتمد عليها.
الأسئلة الشائعة
ما هي درجة رؤوس الأمان الجيدة؟
A أو B هي نتيجة قوية لمعظم المواقع. Content-Security-Policy هو الرأس الأصعب للإضافة بأمان، لذا تجلس العديد من المواقع الجيدة في B أو C حتى تبني سياسة. أصلح الأشياء السريعة أولاً: HSTS و X-Content-Type-Options وقاعدة إطار و Referrer-Policy و Permissions-Policy.
هل ستحسن رؤوس الأمان تصنيفاتي؟
Google لا يصنف المواقع حسب رؤوسها. فهي تحمي الزوار وعلامتك التجارية، و HSTS يمكن أن يوفر إعادة توجيه. كما أنها تبني الثقة مع العملاء والشركاء الواعين بالأمان. تعاملها كنظافة الموقع التي تنتمي بجانب HTTPS، وليس كتكتيك SEO.
هل يمكن لـ Content-Security-Policy أن يكسر موقعي؟
نعم. تحظر السياسة الصارمة أي برنامج نصي أو نمط أو إطار لا تسمح به، بما في ذلك التحليلات وأدوات الدردشة وكود الإعلانات، لذا قد تكسر السياسة المتسرعة الميزات التي يعتمد عليها الزوار. ابدأ بـ Content-Security-Policy-Report-Only وراجع ما سيتم حظره وعدّل السياسة ثم انتقل إلى وضع الفرض.
أين أضيف هذه الرؤوس؟
في تكوين خادم الويب (Nginx add_header و Apache Header set) أو في قاعدة CDN مثل Cloudflare Transform Rules أو في كود التطبيق الخاص بك. على الاستضافة المشتركة يمكنك غالباً إضافتها في ملف .htaccess. تعرض مقاطع الإصلاح أدناه كلا من نماذج Nginx و Apache.