Состояние, сервер, переадресации и заголовки безопасности сайта.
NetCheck отправляет запрос по указанному адресу со своих серверов, по очереди проходит все перенаправления и показывает для итогового ответа:
| Код | Значение | Что запомнить |
|---|---|---|
| 200 | OK | Страница существует и отвечает нормально. |
| 301 | Постоянное перенаправление | Для окончательной смены адреса: поисковики переносят позиции. |
| 302 / 307 | Временное перенаправление | Поисковик оставляет в индексе старый адрес. Частая ошибка при переездах. |
| 308 | Постоянное перенаправление | Как 301, но без смены метода запроса. |
| 304 | Не изменено | У браузера уже есть актуальная версия в кэше. |
| 403 | Запрещено | Сервер отказывает в доступе, иногда потому, что файрвол блокирует ботов. |
| 404 | Не найдено | Страницы не существует. |
| 410 | Удалено | Страница удалена навсегда: поисковики исключают её из индекса быстрее, чем при 404. |
| 429 | Слишком много запросов | Достигнут лимит частоты. |
| 500 / 502 / 503 | Ошибка сервера | Проблема на сервере или у промежуточного звена. 503 означает временную недоступность, например техническое обслуживание. |
max-age=31536000; includeSubDomains.frame-ancestors не позволяет встроить страницу во фрейм на чужом сайте, блокируя кликджекинг.Отсутствие одного из этих заголовков само по себе не уязвимость, но каждый из них почти бесплатно закрывает целое семейство атак.
Каждое перенаправление добавляет сетевой круг и немного ослабляет сигнал для поисковиков. Стремитесь к тому, чтобы между набранным адресом и конечной страницей было не больше одного перенаправления. Типичная цепочка, которую стоит исправить: http://primer.ru, затем https://primer.ru, затем https://www.primer.ru, затем https://www.primer.ru/glavnaya. Лучше сразу перенаправлять первый адрес на последний.
no-store запрещает любое хранение, max-age=3600 разрешает час.Проверка заголовков сайта начинается с первой строки результата: код состояния, сервер, число переадресаций и время ответа. NetCheck отправляет HEAD-запрос, то есть просит у сервера только заголовки без тела страницы, проходит до восьми перенаправлений и показывает заголовки итогового ответа. Промежуточные ответы в списке не выводятся, поэтому видно, где заканчивается цепочка, а не каждый её шаг.
| Заголовок | Что проверить | Пример нормального значения |
|---|---|---|
| Код состояния | 200 для рабочей страницы, 301 или 308 для окончательного переезда | 200 |
Content-Type | Тип и кодировка соответствуют содержимому | text/html; charset=utf-8 |
Cache-Control | HTML не кэшируется надолго, статика кэшируется | no-cache для HTML, max-age=31536000 для файлов с версией в имени |
Strict-Transport-Security | Есть только на HTTPS, срок не меньше полугода | max-age=31536000; includeSubDomains |
Content-Security-Policy | Политика не пустая и без unsafe-inline для скриптов, если это возможно | default-src 'self' |
X-Frame-Options | Запрет встраивания в чужие фреймы | DENY или SAMEORIGIN |
Content-Type нет charset, браузер может неправильно показать кириллицу. Надёжнее явно указать charset=utf-8.Заголовки зависят от адреса: главная страница, страница товара и файл изображения могут отвечать по-разному. Проверяйте отдельно каждый важный URL.
Запрос идёт с серверов NetCheck, а не с вашего компьютера. Сайт может отвечать по-разному в зависимости от страны, языка, cookie или типа клиента, а некоторые файрволы блокируют автоматические запросы кодом 403. Результат всё равно хорошо отражает то, что видит бот, например поисковик.
Он раскрывает используемое ПО, иногда и его версию, что помогает злоумышленнику искать известные уязвимости. Скрывать версию - хорошая практика, но сама по себе это не защита: гораздо важнее своевременно обновлять сервер.
301 (или 308), потому что изменение окончательное. Затем добавьте заголовок HSTS, чтобы браузер даже не пытался открыть HTTP-версию.
Некоторые приложения показывают страницу ошибки, но при этом возвращают код 200. Поисковики называют это «soft 404» и в итоге игнорируют такие страницы. Несуществующая страница должна возвращать настоящий 404.
Код состояния, Content-Type с кодировкой и Cache-Control, затем заголовки безопасности: HSTS, CSP и X-Frame-Options. Сводка в результате сразу показывает, какие из них есть, а каких нет.
NetCheck проходит всю цепочку и показывает число переадресаций, но заголовки выводит только для итогового ответа. Чтобы увидеть конкретный шаг, введите его адрес отдельно.
Директива CSP frame-ancestors заменяет X-Frame-Options в современных браузерах. Оба заголовка вместе не мешают друг другу, а X-Frame-Options поддерживается и старыми браузерами.
Ваш публичный IP, ваш провайдер, приблизительное местоположение.
ОткрытьЗаписи A, AAAA, MX, TXT, NS, CNAME домена.
ОткрытьПроверьте, обновился ли ваш DNS по всему миру.
ОткрытьВладелец, дата создания и окончания домена.
ОткрытьСрок действия, издатель и дата окончания HTTPS сайта.
Открыть