Verificare gli header di sicurezza
Incolla l'indirizzo di una pagina. Leggiamo i suoi header HTTP, verifichiamo le nove protezioni che contano e diamo un voto che puoi ricalcolare a mano.
Come si calcola il voto
Il voto è una somma, non una stima. Ogni controllo vale un numero fisso di punti; un controllo superato li dà tutti, uno parziale la metà (arrotondata per difetto: 7 su 15), uno assente nessuno. Con gli header mostrati sopra, ritrovi lo stesso totale a mano.
| Controllo | Punti | Perché questo peso |
|---|---|---|
| HTTPS | 20 | senza di esso nessun'altra protezione regge |
| Content-Security-Policy | 20 | l'unica che limita i danni di una vulnerabilità XSS |
| Strict-Transport-Security | 15 | impedisce di riportare il visitatore su http:// |
| Protezione dall'incorporamento | 10 | impedisce di nascondere la tua pagina in un riquadro per far cliccare il visitatore a sua insaputa |
| X-Content-Type-Options | 10 | impedisce al browser di indovinare il tipo di un file |
| Referrer-Policy | 10 | limita ciò che i tuoi indirizzi rivelano agli altri siti |
| Permissions-Policy | 5 | blocca l'accesso a fotocamera, microfono o posizione |
| Cookie Secure e SameSite | 5 | impedisce che un cookie viaggi in chiaro o serva a una richiesta contraffatta |
| Versione del server nascosta | 5 | non apre alcuna falla, ma aiuta a cercarne una |
La lettera segue il totale: A+ a 100, A da 90, B da 75, C da 60, D da 45, E da 30, F al di sotto.
Da dove cominciare
Gli header di una riga (X-Content-Type-Options, Referrer-Policy, X-Frame-Options) si impostano in pochi minuti nella configurazione del server o dell'hosting, senza rischi per il sito. Anche HSTS, purché tutto il sito sia già servito in HTTPS. La CSP richiede più cura: una politica troppo rigida rompe gli script di terze parti. Comincia in modalità rapporto, guarda cosa avrebbe bloccato, poi attivala.
Cosa questo strumento non fa
- Non testa alcuna vulnerabilità: legge gli header che il server invia a tutti, e nient'altro.
- Giudica una sola pagina. Un sito può inviare header diversi secondo le pagine, in particolare tra la home e l'area clienti.
- Non dice se la CSP è ben regolata per il tuo sito: verifica che esista e che protegga dagli script, non che lasci passare quelli di cui hai bisogno.
Domande frequenti
Un voto basso penalizza il mio posizionamento?
Non direttamente: solo HTTPS è un segnale di posizionamento, e pesa poco. Gli altri header proteggono i tuoi visitatori, non la tua posizione. Ma un sito violato viene tolto dai risultati o segnalato come pericoloso, e questi header sono parte di ciò che lo protegge.
Come si aggiungono questi header?
Nella configurazione del server (Apache, Nginx), nel pannello di un servizio come Cloudflare, o con un plugin su WordPress. Con la maggior parte degli hosting condivisi, un file .htaccess basta per gli header semplici.
Perché la pagina non mostra il valore dei cookie?
Perché quei cookie sono stati impostati per la nostra visita e non ti direbbero nulla. Per la sicurezza contano solo il nome e gli attributi (Secure, HttpOnly, SameSite), e sono le sole cose che conserviamo.
Per approfondire
HTTPS e posizionamento: che cosa cambia davvero Passare a HTTPS cambia quattro cose concrete. Il posizionamento è la più piccola delle quattro, ed è quella di cui parlano tutti.Gli altri strumenti
Verificare un certificato SSL
Data di scadenza del certificato, emittente e nomi realmente coperti.
Verificare SPF, DKIM e DMARC
SPF, DKIM e DMARC letti e valutati, compresa la catena delle dieci ricerche SPF, con i requisiti di Gmail e Yahoo.
La mia pagina può essere indicizzata?
Noindex, robots.txt, canonical, codice HTTP: cosa impedisce a Google e Bing di indicizzare una pagina, motore per motore.
Essere avvisati prima che il certificato ceda
Expansel verifica il certificato HTTPS dei tuoi siti a ogni passaggio e ti avvisa prima della scadenza, non il giorno in cui il browser mostra un avviso rosso ai tuoi visitatori.