सुरक्षा हेडर जाँच
सुरक्षा हेडर वे निर्देश हैं जो आपका सर्वर हर HTTP प्रतिक्रिया में जोड़ता है, और ब्राउज़र को वे सुरक्षाएँ चालू करने को कहता है जो वह डिफ़ॉल्ट रूप से लागू नहीं करता: इंजेक्ट की गई स्क्रिप्ट रोकना, HTTPS बाध्य करना, फ़्रेम में रखे जाने से इनकार करना, MIME स्निफ़िंग बंद करना। एक URL डालें और यह जांचकर्ता अंतिम प्रतिक्रिया प्राप्त करता है, छह हेडरों को 100 अंकों में ग्रेड करता है, हर एक के लिए मिला हुआ सटीक मान दिखाता है, जोखिम एक पंक्ति में समझाता है, और जब कोई हेडर गायब या कमज़ोर हो तो चिपकाने के लिए Nginx या Apache कॉन्फ़िगरेशन देता है। यदि आपको केवल त्वरित संस्करण चाहिए, तो वेबसाइट स्वास्थ्य जाँच की समग्र रिपोर्ट में पहले से ही सुरक्षा हेडर का एक उप-अंक शामिल है — यह पेज गहन संस्करण है: प्रति-हेडर ग्रेड और सुधार, और कुछ नहीं।
अंतिम अपडेट:
इसे लगातार देखना चाहते हैं? myeventwatch से मुफ़्त निगरानी करें — समाप्ति और डाउनटाइम अलर्ट, कार्ड की ज़रूरत नहीं।
गहन संस्करण, स्वास्थ्य जाँच के त्वरित अंक के बगल में
वेबसाइट स्वास्थ्य जाँच एक व्यापक प्रश्न का उत्तर देती है — क्या यह साइट कुल मिलाकर स्वस्थ है? — और सुरक्षा हेडरों को उस उत्तर में कई उप-अंकों में से एक के रूप में समेटती है। यह नियमित जाँच के लिए सही आकार है, लेकिन यह आपको नहीं बता सकती कि किस हेडर ने अंक खोए, आपके सर्वर ने वास्तव में क्या मान भेजा, या उसे ठीक करने के लिए अपने कॉन्फ़िगरेशन में क्या चिपकाएँ। यह पेज उसी आगे के काम के लिए है: एक प्राप्ति, छह ग्रेड किए जाने वाले हेडर, एक अक्षर ग्रेड, और हर गायब या कमज़ोर हेडर के लिए वे सटीक Nginx और Apache पंक्तियाँ जो उसे जोड़ती या मज़बूत करती हैं। यहाँ कुछ भी ब्लैक बॉक्स नहीं है — पूरी अंक तालिका नीचे तथ्य खंड में प्रकाशित है, और वही तालिका है जिसके विरुद्ध जांचकर्ता ग्रेड करता है।
जाँच कैसे चलती है: जांचकर्ता आपके डाले गए URL का अनुरोध करता है, रीडायरेक्ट का पालन करता है, और अंतिम प्रतिक्रिया के हेडरों को ग्रेड करता है — वही प्रतिक्रिया जिससे ब्राउज़र वास्तव में पेज बनाएगा। यह एक साधारण HTTP प्राप्ति है, ब्राउज़र नहीं: कोई JavaScript नहीं चलता, कोई उप-संसाधन लोड नहीं होता, और जो हेडर केवल अन्य पथों पर या लॉगिन के बाद दिखते हैं वे नहीं दिखते। अंक एक विशिष्ट परत को मापता है — क्या ये छह ब्राउज़र-उन्मुख सुरक्षाएँ मौजूद और मज़बूत हैं — और इससे अधिक कुछ नहीं। कोई साइट 100 अंक पाकर भी ऐप्लिकेशन बग रख सकती है; कोई साइट F पाकर भी कभी भंग नहीं हुई हो सकती है। ग्रेड को वज़न वाली सख़्तीकरण सूची मानें, पूरी साइट की सुरक्षा पर फ़ैसला नहीं।
प्रभाव के क्रम में ठीक करना
अधिकांश अंक सस्ते में वापस मिल जाते हैं। X-Content-Type-Options, फ़्रेम सुरक्षा और Referrer-Policy प्रत्येक एक पंक्ति हैं और सामान्य साइट पर कुछ नहीं तोड़ते। Strict-Transport-Security भी एक पंक्ति है, लेकिन उसे तभी भेजें जब हर पेज और सबडोमेन सचमुच HTTPS पर काम करता हो — एक वर्ष का max-age वह वादा है जिसे ब्राउज़र आपसे निभवाएँगे। Permissions-Policy में दस मिनट यह सोचना पड़ता है कि आपके पेज वास्तव में किन ब्राउज़र सुविधाओं का उपयोग करते हैं। Content-Security-Policy में सबसे अधिक अंक और सबसे अधिक जोखिम है: पहले उसे Content-Security-Policy-Report-Only के रूप में तैनात करें, उल्लंघन रिपोर्ट देखें, जो टूटे उसे ठीक करें, और तभी उसे लागू करें। साथी मार्गदर्शिका, सुरक्षा हेडर, समझाए गए, हर हेडर वास्तव में क्या रोकता है और सुधार का क्रम यही क्यों है, यह क्रम से बताती है।
पड़ोसी जाँचें: परिवहन सुरक्षा इस कहानी का दूसरा आधा हिस्सा है — SSL ग्रेडर स्वयं TLS कॉन्फ़िगरेशन को अंक देता है, जबकि यह पेज उस कनेक्शन पर सर्वर जो कहता है उसे अंक देता है। हेडरों के साथ उपलब्धता, DNS और प्रमाणपत्र समाप्तिを含む व्यापक नियमित जाँच के लिए, वेबसाइट स्वास्थ्य जाँच पर वापस जाएँ।
विधि पर एक टिप्पणी: परिणाम एक क्षण में एक प्राप्ति का स्नैपशॉट हैं। CDN और बहु-सर्वर व्यवस्थाएँ अलग-अलग अनुरोधों पर अलग-अलग हेडर समूहों से उत्तर दे सकती हैं, इसलिए कोई आश्चर्यजनक परिणाम कॉन्फ़िगरेशन बदलने से पहले एक बार फिर जाँचने योग्य है — और बदलाव के बाद भी फिर जाँचने योग्य है, क्योंकि मूल स्थान पर जोड़ा गया हेडर उसके सामने वाले प्रॉक्सी से हमेशा बचकर नहीं निकलता।
प्रकाशित अंक तालिका
| Content-Security-Policy — 35 अंक | अच्छा का अर्थ है एक लागू नीति (Report-Only गिनी नहीं जाती) जो स्क्रिप्टों को 'unsafe-inline' और 'unsafe-eval' से दूर रखती है और संसाधन कहाँ से लोड हो सकते हैं इसे सीमित करती है। सबसे भारी वज़न, क्योंकि CSP इंजेक्ट की गई स्क्रिप्टों के विरुद्ध मुख्य रक्षा है। |
| Strict-Transport-Security — 20 अंक | अच्छा का अर्थ है HTTPS पर भेजा गया, कम से कम एक वर्ष (31536000 सेकंड) का max-age; includeSubDomains उसे और मज़बूत करता है। छोटे max-age आंशिक अंक पाते हैं। |
| फ़्रेम सुरक्षा — 15 अंक | अच्छा का अर्थ है CSP frame-ancestors निर्देश, या DENY या SAMEORIGIN पर सेट X-Frame-Options हेडर, ताकि अन्य साइटें क्लिकजैकिंग के लिए आपके पेजों को फ़्रेम में न रख सकें। |
| X-Content-Type-Options — 10 अंक | अच्छा का अर्थ है एकमात्र मान nosniff, ताकि ब्राउज़र किसी प्रतिक्रिया को MIME-स्निफ़ करके किसी अन्य, चलाए जा सकने वाले प्रकार में न बदल सकें। |
| Referrer-Policy — 10 अंक | अच्छा का अर्थ है ऐसी नीति जो पूरा URL अन्य मूलों को कभी नहीं भेजती — strict-origin-when-cross-origin या उससे सख़्त (same-origin, no-referrer)। |
| Permissions-Policy — 10 अंक | अच्छा का अर्थ है कि हेडर मौजूद है और कैमरा, माइक्रोफ़ोन और भौगोलिक स्थान जैसी शक्तिशाली ब्राउज़र सुविधाएँ, जिनका साइट उपयोग नहीं करती, बंद करता है। |
| Cross-Origin-Opener-Policy — बोनस | ग्रेड किए गए हेडरों के साथ सूचित किया जाता है लेकिन इसका कोई अंक नहीं है: यह आपके पेजों को अन्य-मूल वाली विंडो से अलग करता है, और जानबूझकर 100 के बाहर रखा गया है, ताकि प्रकाशित वज़न ठीक ऊपर वाले छह हेडर ही रहें। |
| ग्रेड | 95 और ऊपर A+, 90+ A, 80+ B, 65+ C, 50+ D, 35+ E है, और 35 से नीचे F है। अंक प्रत्येक हेडर के लिए मिले हुए मान की मज़बूती के अनुसार दिए जाते हैं; गायब हेडर अपनी पंक्ति में शून्य पाता है। |
अक्सर पूछे जाने वाले प्रश्न
अंक कैसे गिना जाता है — क्या यह ब्लैक बॉक्स है?
नहीं। छह हेडरों के निश्चित, प्रकाशित वज़न हैं — CSP 35, HSTS 20, फ़्रेम सुरक्षा 15, X-Content-Type-Options 10, Referrer-Policy 10, Permissions-Policy 10 — कुल 100। प्रत्येक हेडर जांचकर्ता को मिले मान की मज़बूती के अनुसार पूरे, आंशिक या शून्य अंक पाता है, और अक्षर ग्रेड ऊपर की तथ्य तालिका के बैंडों का पालन करता है। Cross-Origin-Opener-Policy बोनस के रूप में सूचित होती है और अंक को कभी प्रभावित नहीं करती।
यह वेबसाइट स्वास्थ्य जाँच से कैसे अलग है?
वेबसाइट स्वास्थ्य जाँच एक व्यापक जाँच है — उपलब्धता, DNS, TLS, समाप्तियाँ और बहुत कुछ — जिसमें सुरक्षा हेडर एक त्वरित उप-अंक के रूप में आते हैं। यह पेज केवल हेडरों को ग्रेड करता है, लेकिन गहराई से: हर एक के लिए मिला सटीक मान, प्रति-हेडर निर्णय और अंक, सरल भाषा में जोखिम, और कॉपी-पेस्ट Nginx व Apache सुधार। समस्या खोजने के लिए स्वास्थ्य जाँच का और उसे ठीक करने के लिए इस पेज का उपयोग करें।
किस प्रतिक्रिया को ग्रेड किया जाता है — मेरी साइट में रीडायरेक्ट हैं?
सभी रीडायरेक्ट के बाद की अंतिम प्रतिक्रिया के हेडर ग्रेड किए जाते हैं, क्योंकि वही प्रतिक्रिया है जिससे ब्राउज़र पेज बनाता है। परिणाम अंतिम URL और स्थिति दिखाता है ताकि आप देख सकें कि शृंखला कहाँ पहुँची। एक चेतावनी: यह एक स्थिर प्राप्ति है, ब्राउज़र नहीं — कोई JavaScript नहीं चलता — इसलिए जो हेडर कोई फ़्रेमवर्क केवल क्लाइंट पक्ष पर जोड़ता है, या जो केवल लॉगिन के बाद या अन्य पथों पर दिखते हैं, वे ग्रेड का हिस्सा नहीं हैं।
मेरी साइट को F मिला। क्या इसका अर्थ है कि वह हैक हो गई?
नहीं। F का अर्थ है कि अंतिम प्रतिक्रिया में छह ग्रेड किए गए हेडरों में से बहुत कम या कोई नहीं था — डिफ़ॉल्ट सर्वर या फ़्रेमवर्क स्थापना की सामान्य स्थिति। यह कहता है कि आपके आगंतुकों के ब्राउज़रों को वे सुरक्षाएँ नहीं मिल रहीं जो मिल सकती थीं; यह इस बारे में कुछ नहीं कहता कि साइट स्वयं भंग हुई है या नहीं। प्रभाव के क्रम में सुधारों पर काम करें और फिर जाँचें: अधिकांश साइटें एक दोपहर में कई ग्रेड चढ़ सकती हैं।
क्या 100 का अंक मतलब है कि मेरी साइट सुरक्षित है?
नहीं — इसका अर्थ है कि जाँचे गए URL पर ये छह हेडर मौजूद और मज़बूत हैं। हेडर एक सख़्तीकरण परत हैं: वे ऐप्लिकेशन बग, कमज़ोर पासवर्ड, पुराना सॉफ़्टवेयर या टूटा TLS कॉन्फ़िगरेशन ठीक नहीं करते। इस जाँच को परिवहन के लिए SSL ग्रेडर और व्यापक तस्वीर के लिए वेबसाइट स्वास्थ्य जाँच के साथ जोड़ें।