ترويسات HTTP لعنوان

ما الذي يعرضه NetCheck

يرسل NetCheck طلبًا إلى العنوان المُدخل من خوادمه الخاصة، ويتتبّع عمليات إعادة التوجيه واحدة تلو الأخرى، ثم يعرض للاستجابة النهائية:

• رمز الحالة وعدد عمليات إعادة التوجيه التي تم تتبّعها؛
• الخادم المعلَن وزمن الاستجابة؛
• ملخصًا لـ ترويسات الأمان الموجودة أو الناقصة؛
• القائمة الكاملة للترويسات، لتحليل مفصّل.

رموز الحالة التي يجب معرفتها

ترويسات الأمان

• Strict-Transport-Security (HSTS) تُلزم المتصفح باستخدام HTTPS فقط لهذا النطاق لمدة معينة، مما يُحبط الهجمات التي تحاول إعادة الاتصال إلى HTTP. القيمة الشائعة: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) تسرد المصادر المسموح بها للنصوص البرمجية والأنماط والصور والإطارات. إنها أفضل دفاع ضد حقن النصوص البرمجية (XSS)، وأصعبها ضبطًا: فالسياسة المتشددة أكثر من اللازم تُعطّل الموقع.
• X-Frame-Options، أو توجيه CSP frame-ancestors، تمنع تضمين الصفحة في إطار على موقع آخر، فتصدّ هجمات اختطاف النقرات.
• X-Content-Type-Options: nosniff تمنع المتصفح من تخمين نوع الملف، وهي طريقة تقليدية لتشغيل محتوى خبيث.
• Referrer-Policy تحدّ من مقدار عنوان الصفحة الذي يُنقل إلى المواقع التي ترتبط بها.
• Permissions-Policy تعطّل الوظائف الحساسة التي لا يحتاجها الموقع: الكاميرا والميكروفون وتحديد الموقع.

غياب إحدى هذه الترويسات ليس ثغرة في حد ذاته، لكن كل واحدة منها تسدّ عائلة كاملة من الهجمات بتكلفة شبه معدومة.

إعادة التوجيه وتحسين محركات البحث

كل إعادة توجيه تضيف رحلة ذهاب وإياب عبر الشبكة، وتُضعف قليلًا الإشارة المرسلة إلى محركات البحث. استهدف إعادة توجيه واحدة على الأكثر بين العنوان المكتوب والصفحة النهائية. سلسلة نموذجية يجب تصحيحها: http://example.sa، ثم https://example.sa، ثم https://www.example.sa، ثم https://www.example.sa/home. الأفضل توجيه العنوان الأول مباشرةً إلى الأخير.

التخزين المؤقت

• Cache-Control تحدد من يحق له الاحتفاظ بالاستجابة وإلى متى. تمنع no-store أي تخزين، وتسمح max-age=3600 بساعة واحدة.
• ETag وLast-Modified تسمحان للمتصفح بطلب الصفحة من جديد فقط إذا تغيّرت، مما ينتج استجابة 304 خفيفة جدًا.
• Age، التي تضيفها شبكات CDN، تبيّن عدد الثواني التي مضت على وجود الاستجابة في الذاكرة المؤقتة.

الأسئلة الشائعة

لماذا تختلف النتيجة عمّا أراه في متصفحي؟

يصدر الطلب من خوادم NetCheck لا من جهازك. قد يستجيب الموقع بشكل مختلف بحسب البلد أو اللغة أو ملفات تعريف الارتباط أو نوع العميل، وبعض جدران الحماية تحظر الطلبات الآلية برمز 403. ومع ذلك تبقى النتيجة معبّرة عمّا يراه روبوت، كمحرك بحث مثلًا.

هل ترويسة «Server» تشكّل خطرًا؟

إنها تكشف البرنامج المستخدم، وأحيانًا إصداره، مما يساعد المهاجم على البحث عن ثغرات معروفة. إخفاء الإصدار ممارسة جيدة، لكنه ليس حماية في حد ذاته: تحديث الخادم أهم بكثير.

هل نحتاج إلى 301 أم 302 للانتقال إلى HTTPS؟

إلى 301 (أو 308)، لأن التغيير نهائي. ثم أضف ترويسة HSTS حتى لا يحاول المتصفح فتح نسخة HTTP أصلًا.

موقعي يعيد 200 لكن الصفحة فارغة أو تعرض خطأ: ما الذي يحدث؟

بعض التطبيقات تعرض صفحة خطأ وتعيد مع ذلك الرمز 200. تسمّي محركات البحث ذلك «soft 404» وينتهي بها الأمر إلى تجاهل هذه الصفحات. يجب أن تعيد الصفحة غير الموجودة رمز 404 حقيقيًا.