Hoppa till innehållet

Säkerhetshuvuden.

Säkerhetshuvuden är korta instruktioner som servern skickar med varje sida och som webbläsaren följer. Punkten är godkänd när servern kräver https i minst ett halvår, inte låter webbläsaren gissa filtyper, inte låter andra sajter rama in sidan och har en Content-Security-Policy som begränsar skript.

Gratis analys av hemsidan

Så prövas punkten

Vi läser huvudena i serverns svar på startsidan. Strict-Transport-Security ska finnas och gälla i minst ett halvår, samma gräns som i Mozilla HTTP Observatory. X-Content-Type-Options ska vara nosniff. Sidan ska skyddas mot inramning med frame-ancestors i Content-Security-Policy eller med X-Frame-Options.

Content-Security-Policy krävs och får inte släppa in skript från vilken adress som helst. Kraven på HSTS, nosniff och inramning följer Mozilla HTTP Observatory och OWASP. Grundnivån för Content-Security-Policy är vår egen gräns.

Så kan det stå i protokollet

saknar Strict-Transport-Security
Webbläsaren blir inte tillsagd att alltid använda https.
Strict-Transport-Security gäller 30 dagar, krav ett halvår
Huvudet finns men gäller för kort tid.
saknar skydd mot inramning (frame-ancestors eller X-Frame-Options)
Andra sajter kan lägga sidan i en ram.

Rapportera fel i bedömningen

Punkt tretton av tjugo · Lita påUr koden

Servern skickar säkerhetshuvuden

kemero.se godkänd,

  • Strict-Transport-Security 365 dagar, nosniff och skydd mot inramning
  • Content-Security-Policy begränsar skript till kända adresser, inline-skript tillåts
Hela protokollet för kemero.se

Varför den behövs.

Webbläsaren gör bara det den blir tillsagd.

Utan HSTS kan första besöket på en öppen wifi ledas om till en falsk sida innan https hinner ta över. Med HSTS använder webbläsaren alltid https till sajten.

En sajt som går att rama in kan läggas osynligt under en annan sida, så att besökaren klickar på något annat än det den tror. Det kallas clickjacking.

kemero.se:s eget protokoll, med anmärkningen på säkerhetshuvudena

Så rättar du den.

Fyra huvuden hos webbhotellet eller i Cloudflare.

  1. Strict-Transport-Security: max-age=31536000

  2. X-Content-Type-Options: nosniff

  3. X-Frame-Options: SAMEORIGIN. Det går också med frame-ancestors 'self' i en Content-Security-Policy.

  4. En Content-Security-Policy med script-src som bara listar sajten och de tjänster den använder, object-src 'none' och base-uri 'self'. Pröva den på varje sida, eftersom en för snäv policy kan stoppa sajtens egna skript.

Gratis analys av hemsidanSå fungerar besiktningen

Gäller punkten mig?

Mejla oss raden så säger vi vad den betyder för din hemsida.

Mejla oss på hej@kemero.se
Ring ossRing 070-728 21 89

iro svarar direkt, dygnet runt.

Alla tjugo punkter