בדיקת HTTP headers וכותרות אבטחה

זה לא מפיל אתר, אבל כל כותרת סוגרת סוג אחד של התקפה: HSTS מונעת הורדה ל-http, X-Frame-Options מונעת הטמעה של האתר בדף זר, CSP מגבילה סקריפטים. ברוב הפלטפורמות מוסיפים אותן בהגדרות השרת או בתוסף אבטחה.

Strict-Transport-Security אומרת לדפדפן לגשת לאתר רק ב-https למשך תקופה. ערך מקובל הוא שנה (max-age=31536000). ערך קצר מדי מסומן כאן.

חשיפת גרסה מדויקת של שרת או שפה מקלה על תוקף לבחור פרצה ידועה. עדיף להסתיר את הגרסה. השם לבדו (nginx, cloudflare) בסדר.

עד 20 בדיקות בשעה מחיבור אחד, בלי הרשמה. תוצאה נשמרת עשר דקות, ולכן בדיקה חוזרת של אותה כתובת מחזירה את השמורה.