Analisi delle intestazioni di sicurezza
Security Header Scan
Dà un voto alle intestazioni HSTS, CSP, di frame, di referrer e di permessi di un sito e mostra che cosa aggiungere.
La maggior parte delle intestazioni che irrobustiscono un sito costa una riga di configurazione ciascuna ed è assente dalla maggior parte dei siti perché nessuno è andato a guardare. Questo strumento recupera un URL e dà un voto a ciò che è tornato indietro — HSTS, CSP, incorniciamento, referrer e permissions policy — con la riga da aggiungere per ognuna di quelle che mancano.
Questa richiesta la fa il nostro server al posto tuo. Gli inviamo solo l’URL che hai scritto: nessuno dei tuoi cookie e nessuno stato di accesso parte insieme. Il server si collega soltanto a indirizzi pubblici e rifiuta quelli privati e interni.
Come si usa
Inserire l’URL
Va usato l’indirizzo che le persone visitano davvero. Le intestazioni differiscono spesso fra il dominio nudo e `www`, e fra il documento HTML e le risorse statiche servite da un altro strato.
Sistemare prima quelle sull’incorniciamento e sul trasporto
`Strict-Transport-Security` e una direttiva `frame-ancestors` costano poco, non hanno effetti sul disegno della pagina e chiudono due intere classi di attacco. Si comincia da lì.
Trattare la CSP a parte
Una content security policy va costruita su quello che le proprie pagine caricano, non incollata da un rapporto. Quella parte la fa il costruttore di CSP.
Domande frequenti
Un buon voto vuol dire che il sito è sicuro?
No. Vuol dire che è presente un insieme di intestazioni di risposta. Non dice nulla su autenticazione, difetti di iniezione, controllo degli accessi o su che cosa gira dietro l’URL: l’intera sostanza della sicurezza di un sito resta fuori dal campo visivo.
Le mie intestazioni sono impostate ma non vengono rilevate.
Va controllata la risposta a cui il voto è stato davvero dato: potrebbe essere stato recuperato un reindirizzamento da `http` a `https`, oppure dal dominio nudo a `www`. Anche una CDN o un WAF davanti al server possono togliere o aggiungere intestazioni dopo che l’origine le ha impostate.
Conviene attivare il preload di HSTS?
Solo quando ogni sottodominio, presente e futuro, è in grado di servire HTTPS: il preload è incorporato nei browser e per uscirne servono mesi. Conviene prima far girare `max-age` a un valore breve e alzarlo quando si è sicuri.
Può ricevere da
Ispettore di intestazioni HTTP
HTTP Header Inspector
Richiede un URL e mostra tutte le intestazioni di risposta, la catena di redirect, i tempi e la compressione usata.
Verifica del certificato SSL
SSL Certificate Checker
Si collega a un host, mostra la catena servita, la scadenza, il protocollo e i cifrari supportati, e segnala i buchi nella catena.
Hash di integrità delle risorse (SRI)
Subresource Integrity Hash
Calcola l’attributo Subresource Integrity (sha256, sha384 o sha512) per uno script o un foglio di stile che incolli o trascini qui.
Creazione di una policy CSP
CSP Builder
Costruisce una Content-Security-Policy da un modulo guidato o da un rapporto di violazione, e spiega ogni direttiva.
Dopo
Questi accettano ciò che produce questo strumento, così il risultato può passare direttamente.
Verifica CORS
CORS Tester
Invia la preflight che manderebbe un browser da un’origine scelta più una GET con quell’Origin, e spiega secondo le regole dello standard Fetch quale intestazione ha bloccato la richiesta.
Creazione di una policy CSP
CSP Builder
Costruisce una Content-Security-Policy da un modulo guidato o da un rapporto di violazione, e spiega ogni direttiva.
Ispettore di intestazioni HTTP
HTTP Header Inspector
Richiede un URL e mostra tutte le intestazioni di risposta, la catena di redirect, i tempi e la compressione usata.
Verifica del certificato SSL
SSL Certificate Checker
Si collega a un host, mostra la catena servita, la scadenza, il protocollo e i cifrari supportati, e segnala i buchi nella catena.
Pulizia di un CSV
CSV Cleaner
Ripulisce gli spazi nelle celle, uniforma le intestazioni, sistema i formati di numeri e date e segnala le righe con il numero di colonne sbagliato.
Unire due tabelle su una chiave
CSV Join
Unisce due tabelle su una colonna chiave con logica interna, sinistra, destra o esterna, e mostra le righe che non hanno trovato corrispondenza.