Security Headers Checker
Questo verificatore gratuito di header di sicurezza richiede il tuo URL e valuta sei header di risposta su 100 con un voto da A a F: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy e Permissions-Policy. Ogni lacuna include una riga pronta da incollare per Nginx e Apache, così puoi correggerla in pochi minuti.
Security Headers Checker
Technical SEO
Informazioni su questo strumento
Gli header di sicurezza sono brevi istruzioni che il tuo server invia con ogni pagina e dicono al browser come comportarsi rigorosamente. Possono forzare HTTPS, impedire che le tue pagine siano incorniciate da altri siti, bloccare il browser dall'indovinare i tipi di file, limitare quali script possono essere eseguiti e decidere quanto del tuo indirizzo è condiviso quando un visitatore fa clic su un link. La maggior parte costa una riga di configurazione del server.
Il verificatore recupera la pagina e valuta sei header: Strict-Transport-Security (20 punti), Content-Security-Policy (25), X-Content-Type-Options (15), protezione dal clickjacking tramite X-Frame-Options o frame-ancestors (15), Referrer-Policy (10) e Permissions-Policy (15). Un valore debole guadagna metà dei punti. Il totale dà il voto: A da 90, B da 75, C da 60, D da 40, E da 20 e F sotto. Il voto misura quali header sono presenti e non ovviamente deboli, non se il tuo sito è sicuro. Un sito può ottenere A e avere comunque codice vulnerabile, e una Content-Security-Policy è controllata per la presenza e le debolezze ovvie, non testata contro i tuoi script. Aggiungi gli header uno alla volta e testa il sito, soprattutto la Content-Security-Policy, che può bloccare gli script su cui fai affidamento.
Il voto misura quali header sono presenti e non ovviamente deboli, non se il tuo sito è sicuro. Un sito può ottenere A e avere comunque codice vulnerabile, e una Content-Security-Policy è controllata per la presenza e le debolezze ovvie, non testata contro i tuoi script. Aggiungi gli header uno alla volta e testa il sito, soprattutto la Content-Security-Policy, che può bloccare gli script su cui fai affidamento.
Domande frequenti
Qual è un buon voto per gli header di sicurezza?
A o B è un risultato forte per la maggior parte dei siti. Una Content-Security-Policy è l'header più difficile da aggiungere in sicurezza, quindi molti siti buoni rimangono a B o C finché non costruiscono una policy. Correggi prima quelli veloci: HSTS, X-Content-Type-Options, una regola di framing, Referrer-Policy e Permissions-Policy.
Gli header di sicurezza miglioreranno il mio ranking?
Google non classifica i siti in base ai loro header. Proteggono i visitatori e il tuo marchio, e HSTS può risparmiare un reindirizzamento. Costruiscono anche fiducia con clienti e partner attenti alla sicurezza. Trattali come igiene del sito che appartiene accanto a HTTPS, non come tattica SEO.
Una Content-Security-Policy può rompere il mio sito?
Sì. Una policy ristretta blocca qualsiasi script, stile o frame che non consente, inclusi analytics, widget di chat e codice pubblicitario, quindi una policy affrettata può rompere le funzionalità su cui i visitatori fanno affidamento. Inizia con Content-Security-Policy-Report-Only, rivedi cosa sarebbe bloccato, regola la policy, poi passa alla modalità di applicazione.
Dove aggiungo questi header?
Nella configurazione del server web (Nginx add_header, Apache Header set), in una regola CDN come Cloudflare Transform Rules, o nel codice della tua applicazione. Su hosting condiviso spesso puoi aggiungerli nel file .htaccess. I frammenti di correzione sotto mostrano entrambe le forme Nginx e Apache.