Nagłówki HTTP adresu URL

Co pokazuje NetCheck

NetCheck wysyła żądanie pod podany adres ze swoich serwerów, podąża za przekierowaniami jedno po drugim i pokazuje dla ostatecznej odpowiedzi:

• kod statusu i liczbę wykonanych przekierowań;
• zadeklarowany serwer i czas odpowiedzi;
• podsumowanie obecnych lub brakujących nagłówków bezpieczeństwa;
• pełną listę nagłówków, do szczegółowej analizy.

Kody statusu, które warto znać

Nagłówki bezpieczeństwa

• Strict-Transport-Security (HSTS) zmusza przeglądarkę do używania dla domeny wyłącznie HTTPS przez określony czas, co udaremnia ataki próbujące wrócić do HTTP. Typowa wartość: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP) wymienia dozwolone źródła skryptów, stylów, obrazów i ramek. To najlepsza obrona przed wstrzykiwaniem skryptów (XSS) i najtrudniejsza do dostrojenia: zbyt restrykcyjna polityka psuje stronę.
• X-Frame-Options lub dyrektywa CSP frame-ancestors uniemożliwia osadzenie strony w ramce na innej stronie, co blokuje clickjacking.
• X-Content-Type-Options: nosniff zabrania przeglądarce zgadywania typu pliku, co jest klasycznym sposobem na uruchomienie złośliwej treści.
• Referrer-Policy ogranicza, ile ze swojego adresu strona przekazuje stronom, do których prowadzą linki.
• Permissions-Policy wyłącza wrażliwe funkcje, których strona nie potrzebuje: kamerę, mikrofon, lokalizację.

Brak jednego z tych nagłówków nie jest sam w sobie luką, ale każdy z nich niemal bezkosztowo zamyka całą rodzinę ataków.

Przekierowania i SEO

Każde przekierowanie dodaje obieg w sieci i nieco osłabia sygnał wysyłany do wyszukiwarek. Staraj się mieć najwyżej jedno przekierowanie między wpisanym adresem a stroną docelową. Typowy łańcuch do poprawienia: http://przyklad.pl, potem https://przyklad.pl, potem https://www.przyklad.pl, potem https://www.przyklad.pl/start. Lepiej przekierować pierwszy adres od razu na ostatni.

Pamięć podręczna

• Cache-Control określa, kto może przechowywać odpowiedź i jak długo. no-store zabrania przechowywania, max-age=3600 pozwala na godzinę.
• ETag i Last-Modified pozwalają przeglądarce ponownie pobrać stronę tylko wtedy, gdy się zmieniła, co daje bardzo lekką odpowiedź 304.
• Age, dodawany przez sieci CDN, pokazuje, od ilu sekund odpowiedź leży w pamięci podręcznej.

Najczęstsze pytania

Dlaczego wynik różni się od tego, co widzę w przeglądarce?

Żądanie wychodzi z serwerów NetCheck, a nie z twojego komputera. Strona może odpowiadać inaczej w zależności od kraju, języka, plików cookie czy rodzaju klienta, a niektóre zapory blokują automatyczne żądania kodem 403. Wynik nadal dobrze oddaje to, co widzi bot, na przykład wyszukiwarka.

Czy nagłówek „Server” jest zagrożeniem?

Ujawnia używane oprogramowanie, czasem jego wersję, co pomaga napastnikowi szukać znanych luk. Ukrywanie wersji to dobra praktyka, ale nie ochrona sama w sobie: aktualizowanie serwera ma dużo większe znaczenie.

Czy do przejścia na HTTPS potrzebne jest 301, czy 302?

301 (lub 308), bo zmiana jest trwała. Dodaj potem nagłówek HSTS, aby przeglądarka w ogóle nie próbowała wersji HTTP.

Moja strona zwraca 200, ale jest pusta lub pokazuje błąd: co się dzieje?

Niektóre aplikacje wyświetlają stronę błędu, a mimo to zwracają kod 200. Wyszukiwarki nazywają to „soft 404” i w końcu ignorują takie strony. Nieistniejąca strona powinna zwracać prawdziwy kod 404.