보안 헤더 검사

이것을 계속 감시하고 싶으신가요? myeventwatch로 무료 감시 — 만료 및 다운타임 알림, 카드 불필요.

심층 버전 — 상태 검사의 빠른 점수 옆에

웹사이트 상태 검사는 넓은 질문 — 이 사이트는 전체적으로 건강한가? — 에 답하고, 보안 헤더를 여러 하위 점수 중 하나로 그 답에 접어 넣습니다. 그것은 정기 검진에 맞는 형태이지만, 어떤 헤더가 점수를 잃었는지, 서버가 실제로 어떤 값을 보냈는지, 고치려면 설정에 무엇을 붙여넣어야 하는지는 알려 주지 못합니다. 이 페이지는 그 후속 작업을 위해 존재합니다: 한 번의 가져오기, 채점되는 여섯 개 헤더, 문자 등급, 그리고 없거나 약한 헤더마다 그것을 추가하거나 강화하는 정확한 Nginx와 Apache 줄. 여기에는 블랙박스가 없습니다 — 전체 채점표가 아래 사실 섹션에 공개되어 있고, 그것은 검사기가 채점에 사용하는 바로 그 표입니다.

검사 방식: 검사기는 입력한 URL을 요청하고, 리디렉션을 따라가며, 최종 응답의 헤더를 채점합니다 — 브라우저가 실제로 페이지를 만들 때 쓰는 응답입니다. 이것은 브라우저가 아닌 단순한 HTTP 가져오기입니다: JavaScript가 실행되지 않고, 하위 리소스가 로드되지 않으며, 다른 경로나 로그인 후에만 나타나는 헤더는 보이지 않습니다. 점수는 하나의 특정 층 — 이 여섯 가지 브라우저 대상 보호가 존재하고 강한지 — 만을 측정합니다. 사이트는 100점을 받아도 애플리케이션 버그를 안고 있을 수 있고, F를 받아도 침해된 적이 없을 수 있습니다. 등급은 가중치가 붙은 강화 체크리스트로 대하시고, 사이트 전체 보안에 대한 판결로 대하지 마세요.

영향 순서대로 고치기

점수의 대부분은 싸게 되찾을 수 있습니다. X-Content-Type-Options, 프레임 보호, Referrer-Policy는 각각 한 줄이며 보통의 사이트에서는 아무것도 깨뜨리지 않습니다. Strict-Transport-Security도 한 줄이지만, 모든 페이지와 하위 도메인이 실제로 HTTPS로 동작할 때만 보내세요 — 1년의 max-age는 브라우저가 당신에게 지키라고 요구할 약속입니다. Permissions-Policy는 페이지가 실제로 어떤 브라우저 기능을 쓰는지 10분쯤 생각해야 합니다. Content-Security-Policy는 점수가 가장 크고 위험도 가장 큽니다: 먼저 Content-Security-Policy-Report-Only로 배포하고, 위반 보고를 지켜보고, 깨지는 것을 고친 뒤에야 강제하세요. 동반 가이드인 보안 헤더 해설은 각 헤더가 실제로 무엇을 막는지, 왜 수정 순서가 이 순서인지를 차례로 설명합니다.

이웃 검사: 전송 보안은 이 이야기의 나머지 절반입니다 — SSL 채점기는 TLS 설정 자체를 채점하고, 이 페이지는 그 연결 위에서 서버가 말하는 것을 채점합니다. 헤더와 함께 가용성, DNS, 인증서 만료를 포함하는 넓은 정기 검진은 웹사이트 상태 검사로 돌아가세요.

방법에 대한 참고: 결과는 한 시점의 한 번 가져오기에 대한 스냅샷입니다. CDN과 다중 서버 구성은 요청마다 다른 헤더 집합으로 답할 수 있으므로, 놀라운 결과는 설정을 바꾸기 전에 한 번 다시 확인할 가치가 있고, 바꾼 뒤에도 다시 확인할 가치가 있습니다. 원본에서 추가한 헤더가 그 앞의 프록시를 항상 살아남지는 않기 때문입니다.

공개된 채점표

자주 묻는 질문