Verifica header di sicurezza
Testa gli header di sicurezza HTTP di qualsiasi sito (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e altri), ottieni un voto da A+ a F e scopri come correggere ciò che manca.
Come si usaVoto di sicurezza degli header
Disponibile in: 
Verifica header di sicurezza: a cosa serve
Inserisci l’indirizzo di un sito e vedi quali header di sicurezza HTTP invia e quali mancano: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e Cross-Origin-Opener-Policy. Ognuno spiega cosa protegge e propone un valore da copiare. Il voto da A+ a F toglie punti agli header che rivelano la versione del server, come Server e X-Powered-By.
Ideale per controllare un sito prima di un audit o di un penetration test.
Come si usa
- Inserisci l’indirizzo del sito.
- Tocca Verifica.
- Aggiungi sul server gli header mancanti.
Quando usarlo
- Migliorare il voto di sicurezza del sito.
- Proteggere il sito dal clickjacking.
- Controllare la configurazione dopo modifiche a Nginx o Cloudflare.
Domande frequenti
Cosa sono gli header di sicurezza?
Istruzioni che il server invia con la pagina per dire al browser come proteggersi: usare sempre HTTPS, non lasciare che il sito venga incorporato in un altro (clickjacking), da dove caricare gli script e quali funzioni, come fotocamera e posizione, la pagina può richiedere.
Come viene calcolato il voto?
Ogni header importante vale punti, con più peso per HSTS e Content-Security-Policy. Gli header che rivelano la versione del server o del linguaggio tolgono punti. Il voto va da A+ (tutti presenti) a F (quasi nessuno).
Come aggiungo questi header?
Su Nginx con add_header; su Apache con Header set nel .htaccess; su Cloudflare con le regole di trasformazione degli header; nei framework come Express o Next.js con un middleware come helmet. Lo strumento mostra il valore consigliato per ognuno.
La Content-Security-Policy può rompere il mio sito?
Sì, se è troppo restrittiva e blocca script che usi. Inizia con Content-Security-Policy-Report-Only per vedere solo i report e consenti le origini necessarie prima di attivarla davvero.
È davvero gratis?
Sì, 100% gratis. Senza registrazione, senza abbonamento e senza limiti d’uso. Tutti gli strumenti di Tools123 sono gratuiti.