Проверка заголовков безопасности
Проверьте HTTP-заголовки безопасности любого сайта (HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и другие), получите оценку от A+ до F и узнайте, как исправить недостающее.
Как пользоватьсяОценка безопасности заголовков
Доступно на: 
Проверка заголовков безопасности: для чего нужен
Введите адрес сайта и посмотрите, какие HTTP-заголовки безопасности он отправляет и каких не хватает: Strict-Transport-Security (HSTS), Content-Security-Policy (CSP), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и Cross-Origin-Opener-Policy. Для каждого есть пояснение и рекомендуемое значение для копирования. Оценка от A+ до F снижается за заголовки, раскрывающие версию сервера, например Server и X-Powered-By.
Идеально для проверки сайта перед аудитом или пентестом.
Как пользоваться
- Введите адрес сайта.
- Нажмите «Проверить».
- Добавьте недостающие заголовки на сервере.
Когда использовать
- Повысить оценку безопасности сайта.
- Защитить сайт от кликджекинга.
- Проверить настройки после изменений в Nginx или Cloudflare.
Частые вопросы
Что такое заголовки безопасности?
Инструкции, которые сервер отправляет вместе со страницей, чтобы браузер защищал пользователя: всегда использовать HTTPS, не давать встраивать сайт в чужие страницы (кликджекинг), откуда загружать скрипты и какие функции, например камеру и геолокацию, может запрашивать страница.
Как считается оценка?
Каждый важный заголовок даёт баллы, больше всего весят HSTS и Content-Security-Policy. Заголовки, раскрывающие версию сервера или языка, отнимают баллы. Оценка — от A+ (все есть) до F (почти ничего).
Как добавить эти заголовки?
В Nginx — через add_header, в Apache — Header set в .htaccess, в Cloudflare — правилами преобразования заголовков, а во фреймворках вроде Express или Next.js — middleware, например helmet. Инструмент показывает рекомендуемое значение для каждого.
Может ли Content-Security-Policy сломать сайт?
Может, если она слишком строгая и блокирует нужные скрипты. Начните с Content-Security-Policy-Report-Only, чтобы только видеть отчёты, и разрешите нужные источники, прежде чем включать её всерьёз.
Правда бесплатно?
Да, 100% бесплатно. Без регистрации, без подписки и без ограничений использования. Все инструменты Tools123 бесплатны.