Säkerhetshuvuden
Betygsätt webbplatsens säkerhetshuvuden från A till F, med förklaring och förslag för varje huvud.
Om verktyget
Säkerhetshuvuden är regler som servern skickar till webbläsaren. De bestämmer bland annat att sidan alltid ska visas med https, varifrån skript får laddas och om andra sajter får visa sidan i en ram.
Verktyget hämtar sidan och kontrollerar sju huvuden: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options eller frame-ancestors, X-Content-Type-Options, Referrer-Policy, Permissions-Policy och Cross-Origin-Opener-Policy. Varje huvud ger poäng, och summan blir ett betyg från A till F.
För varje huvud som saknas eller är svagt får du en förklaring och ett förslag på värde. Börja med HSTS, X-Content-Type-Options och Referrer-Policy, som sällan ställer till något. CSP kräver mer arbete, eftersom en för sträng regel kan stoppa skript som sidan behöver.
Vanliga frågor
Hur lägger jag till säkerhetshuvuden?
På ett webbhotell med Apache eller LiteSpeed lägger du till rader i .htaccess, till exempel Header always set X-Content-Type-Options "nosniff". I WordPress finns också tillägg som gör det.
Kan säkerhetshuvuden förstöra min sida?
De flesta inte. Content-Security-Policy kan stoppa skript och stilar om regeln är för sträng. Prova den först som Content-Security-Policy-Report-Only.
Behövs X-Frame-Options om jag har CSP?
frame-ancestors i CSP ersätter X-Frame-Options i moderna webbläsare. Många skickar båda för att även äldre webbläsare ska skyddas.
Är betyget samma som en säkerhetsgranskning?
Nej. Betyget visar bara vilka huvuden servern skickar. Uppdateringar, lösenord och säkerhetskopior är minst lika viktiga.