Header HTTP di un URL

Cosa mostra NetCheck

NetCheck invia una richiesta all'indirizzo indicato dai propri server, segue i reindirizzamenti uno per uno e mostra, per la risposta finale:

• il codice di stato e il numero di reindirizzamenti seguiti;
• il server dichiarato e il tempo di risposta;
• un riepilogo delle intestazioni di sicurezza presenti o mancanti;
• l'elenco completo delle intestazioni, per un'analisi dettagliata.

I codici di stato da conoscere

Le intestazioni di sicurezza

• Strict-Transport-Security (HSTS) obbliga il browser a usare solo HTTPS per quel dominio per un certo periodo, il che sventa gli attacchi che tentano di tornare a HTTP. Valore comune: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) elenca le fonti consentite per script, stili, immagini e frame. È la difesa migliore contro l'iniezione di script (XSS), e la più delicata da regolare: una policy troppo rigida rompe il sito.
• X-Frame-Options, o la direttiva frame-ancestors della CSP, impedisce di incorporare la pagina in un frame su un altro sito, bloccando il clickjacking.
• X-Content-Type-Options: nosniff impedisce al browser di indovinare il tipo di un file, una via classica per far eseguire contenuti malevoli.
• Referrer-Policy limita quanto del proprio indirizzo la pagina trasmette ai siti a cui rimanda.
• Permissions-Policy disattiva le funzioni sensibili di cui il sito non ha bisogno: fotocamera, microfono, geolocalizzazione.

La mancanza di una di queste intestazioni non è una falla in sé, ma ognuna chiude un'intera famiglia di attacchi a un costo quasi nullo.

Reindirizzamenti e SEO

Ogni reindirizzamento aggiunge un andata e ritorno di rete e diluisce un po' il segnale inviato ai motori. Punta ad avere al massimo un reindirizzamento tra l'indirizzo digitato e la pagina finale. Una catena tipica da correggere: http://esempio.it, poi https://esempio.it, poi https://www.esempio.it, poi https://www.esempio.it/home. Meglio reindirizzare il primo indirizzo direttamente all'ultimo.

La cache

• Cache-Control indica chi può conservare la risposta e per quanto tempo. no-store vieta qualsiasi memorizzazione, max-age=3600 consente un'ora.
• ETag e Last-Modified permettono al browser di richiedere la pagina solo se è cambiata, producendo una risposta 304 molto leggera.
• Age, aggiunta dalle CDN, indica da quanti secondi la risposta è in cache.

Domande frequenti

Perché il risultato è diverso da quello che vedo nel mio browser?

La richiesta parte dai server di NetCheck, non dal tuo computer. Un sito può rispondere in modo diverso a seconda del paese, della lingua, dei cookie o del tipo di client, e alcuni firewall bloccano le richieste automatiche con un 403. Il risultato resta rappresentativo di ciò che vede un bot, per esempio un motore di ricerca.

L'intestazione «Server» è un rischio?

Rivela il software usato, a volte la sua versione, il che aiuta un attaccante a cercare falle note. Nascondere la versione è una buona pratica, ma non una protezione in sé: tenere il server aggiornato conta molto di più.

Per passare a HTTPS serve un 301 o un 302?

Un 301 (o un 308), perché il cambiamento è definitivo. Aggiungi poi l'intestazione HSTS, così il browser non proverà nemmeno più la versione HTTP.

Il mio sito restituisce 200 ma la pagina è vuota o in errore: cosa succede?

Alcune applicazioni mostrano una pagina di errore restituendo comunque il codice 200. I motori la chiamano «soft 404» e finiscono per ignorare queste pagine. Una pagina inesistente deve restituire un vero 404.