安全响应头检测

安全响应头检测: 用途

输入网站地址，查看它发送了哪些 HTTP 安全响应头、缺少哪些：Strict-Transport-Security（HSTS）、Content-Security-Policy（CSP）、X-Frame-Options、X-Content-Type-Options、Referrer-Policy、Permissions-Policy 和 Cross-Origin-Opener-Policy。每一项都说明其作用并提供可复制的建议值。A+ 到 F 的评分会因 Server、X-Powered-By 等暴露服务器版本的响应头而扣分。

适合在安全审计或渗透测试前检查网站。

使用方法

1. 输入网站地址。
2. 点击“检查”。
3. 在服务器上添加缺少的响应头。

使用场景

• 提高网站的安全评分。
• 防止网站被点击劫持。
• 修改 Nginx 或 Cloudflare 后检查配置。

常见问题

什么是安全响应头？

服务器随页面发送的指令，告诉浏览器如何自我保护：始终使用 HTTPS、不允许网站被嵌入其他页面（点击劫持）、可以从哪里加载脚本，以及页面可以请求摄像头、定位等哪些功能。

评分是怎么算的？

每个重要响应头都有分值，HSTS 和 Content-Security-Policy 权重最高。暴露服务器或语言版本的响应头会扣分。评分从 A+（全部具备）到 F（几乎没有）。

如何添加这些响应头？

Nginx 用 add_header；Apache 在 .htaccess 中用 Header set；Cloudflare 用响应头转换规则；Express、Next.js 等框架可用 helmet 之类的中间件。工具会给出每一项的建议值。

Content-Security-Policy 会把网站弄坏吗？

可能会，如果太严格而拦截了你在用的脚本。先用 Content-Security-Policy-Report-Only 只看报告，放行所需来源后再正式启用。

真的免费吗？

是的，100%免费。无需注册，无需订阅，不限使用次数。所有工具：Tools123是免费的。

相似工具