Bir URL'nin HTTP başlıkları

NetCheck neleri gösterir

NetCheck, girdiğiniz adrese kendi sunucularından bir istek gönderir, yönlendirmeleri tek tek izler ve son yanıt için şunları gösterir:

• durum kodu ve izlenen yönlendirme sayısı;
• bildirilen sunucu ve yanıt süresi;
• mevcut ya da eksik güvenlik başlıklarının özeti;
• ayrıntılı analiz için başlıkların tam listesi.

Bilinmesi gereken durum kodları

Güvenlik başlıkları

• Strict-Transport-Security (HSTS), tarayıcıyı belirli bir süre boyunca bu alan adı için yalnızca HTTPS kullanmaya zorlar ve HTTP'ye geri düşürmeye çalışan saldırıları boşa çıkarır. Yaygın değer: max-age=31536000; includeSubDomains.
• Content-Security-Policy (CSP), betikler, stiller, görseller ve çerçeveler için izin verilen kaynakları listeler. Betik enjeksiyonuna (XSS) karşı en iyi savunmadır ve ayarlaması en zor olanıdır: fazla katı bir politika siteyi bozar.
• X-Frame-Options ya da CSP'nin frame-ancestors yönergesi, sayfanın başka bir sitede bir çerçeveye gömülmesini engeller ve tıklama korsanlığını önler.
• X-Content-Type-Options: nosniff, tarayıcının bir dosyanın türünü tahmin etmesini yasaklar; bu, tuzaklı içeriği çalıştırmanın klasik bir yoludur.
• Referrer-Policy, sayfanın bağlantı verdiği sitelere kendi adresinden ne kadarını ileteceğini sınırlar.
• Permissions-Policy, sitenin ihtiyaç duymadığı hassas işlevleri kapatır: kamera, mikrofon, konum.

Bu başlıklardan birinin eksik olması tek başına bir açık değildir, ama her biri neredeyse sıfır maliyetle bütün bir saldırı türünü kapatır.

Yönlendirmeler ve SEO

Her yönlendirme ağa bir gidiş dönüş ekler ve arama motorlarına gönderilen sinyali biraz zayıflatır. Yazılan adres ile son sayfa arasında en fazla bir yönlendirme hedefleyin. Düzeltilmesi gereken tipik bir zincir: http://ornek.com.tr, sonra https://ornek.com.tr, sonra https://www.ornek.com.tr, sonra https://www.ornek.com.tr/anasayfa. İlk adresi doğrudan sonuncuya yönlendirmek daha iyidir.

Önbellek

• Cache-Control, yanıtı kimin ve ne kadar süre saklayabileceğini belirtir. no-store her türlü saklamayı yasaklar, max-age=3600 bir saate izin verir.
• ETag ve Last-Modified, tarayıcının sayfayı yalnızca değiştiyse yeniden istemesini sağlar; bu da çok hafif bir 304 yanıtı üretir.
• Age, CDN'lerin eklediği bu başlık, yanıtın kaç saniyedir önbellekte olduğunu gösterir.

Sık sorulan sorular

Sonuç neden tarayıcımda gördüğümden farklı?

İstek sizin bilgisayarınızdan değil, NetCheck sunucularından gelir. Bir site ülkeye, dile, çerezlere ya da istemci türüne göre farklı yanıt verebilir; bazı güvenlik duvarları da otomatik istekleri 403 ile engeller. Sonuç yine de bir botun, örneğin bir arama motorunun gördüğünü iyi yansıtır.

„Server” başlığı bir risk mi?

Kullanılan yazılımı, bazen sürümünü de açığa vurur; bu da bir saldırganın bilinen açıkları hedeflemesine yardım eder. Sürümü gizlemek iyi bir uygulamadır, ama tek başına koruma değildir: sunucuyu güncel tutmak çok daha önemlidir.

HTTPS'ye geçmek için 301 mi, 302 mi kullanılmalı?

301 (ya da 308), çünkü değişiklik kalıcıdır. Ardından HSTS başlığını ekleyin, böylece tarayıcı HTTP sürümünü denemez bile.

Sitem 200 döndürüyor ama sayfa boş ya da hata gösteriyor: ne oluyor?

Bazı uygulamalar bir hata sayfası gösterirken yine de 200 kodu döndürür. Arama motorları buna „soft 404” der ve sonunda bu sayfaları yok sayar. Var olmayan bir sayfa gerçek bir 404 döndürmelidir.