HolicSecurity

Kiểm tra header bảo mật · Kết quả trong vài giây · Không cần đăng ký · English

Kiểm tra header bảo mật

Kiểm tra header bảo mật website, chấm điểm A–F

Một lần tải trang, kết quả trong khoảng 10 giây. Miễn phí, không cần đăng ký.

Công cụ kiểm tra những gì?

  • HTTPS / TLS và HSTS: có buộc trình duyệt luôn dùng HTTPS không.
  • Content-Security-Policy: lớp phòng thủ mạnh nhất trước tấn công XSS.
  • Chống clickjacking: frame-ancestors hoặc X-Frame-Options.
  • X-Content-Type-Options, Referrer-Policy, Permissions-Policy.
  • Cookie: cờ Secure, HttpOnly, SameSite.
  • Lộ phiên bản phần mềm qua header Server, X-Powered-By.
  • Email: SPF, DMARC, DKIM; cùng DNSSEC và CAA.

Thêm header ở đâu?

Nginx: add_header. Apache: tệp .htaccess với Header always set. Cloudflare: Transform Rules. WordPress: plugin header hoặc tệp .htaccess. Next.js: hàm headers() trong next.config. Với CSP, nên bắt đầu bằng Content-Security-Policy-Report-Only để không làm hỏng website.

Không muốn tự cấu hình? Gói sửa hộ từ $29.

Câu hỏi thường gặp

Điểm D hay F có nghĩa là website bị hack?

Không. Điểm thấp nghĩa là thiếu các lớp bảo vệ khuyến nghị, không phải đã có sự cố. Đây cũng không phải kiểm thử xâm nhập.

Công cụ có lưu kết quả không?

Kết quả được lưu tạm để bạn chia sẻ link và mở khóa phần cách sửa; chi tiết trong chính sách quyền riêng tư (tiếng Anh).