安全响应头体检
Security Header Scan
给站点的 HSTS、CSP、框架、referrer 和权限相关响应头打分，并说明还该补上哪些。
给站点加固的那些响应头，大多每个只要一行配置，而大多数站点没有它们，只是因为没人看过。这里抓取一个 URL，给返回的内容打分——HSTS、CSP、框架嵌入、referrer 和权限策略——每缺一项，就给出要加的那一行。
这个请求由我们的服务器代你发出。送到服务器的只有你输入的网址，你的 Cookie 和登录状态都不会跟着走。服务器只连接公网地址，私有地址和内网地址一律拒绝。
怎么用
输入 URL
用人们实际访问的那个地址。响应头在裸域名和 `www` 之间、在 HTML 文档和由另一层提供的静态资源之间，经常不一样。
先修框架嵌入和传输那两项
`Strict-Transport-Security` 和一条 `frame-ancestors` 指令很便宜，不影响渲染，却封住了整整两类攻击。从这里开始。
CSP 单独处理
内容安全策略需要对着你的页面实际加载的东西来搭，不能从报告里粘。CSP 生成工具做的是那一部分。
常见问题
评分高就是站点安全吗？
不是。它的意思是一组响应头存在。它对认证、注入漏洞、访问控制、URL 背后跑着什么，一概不说——一个站点安全性的全部实质，在这里都看不到。
我的响应头设了，但没被检测到。
看看实际被打分的是哪个响应——从 `http` 到 `https`、或者从裸域名到 `www` 的重定向，可能才是被抓取的那个。前面的 CDN 或 WAF 也可能在你的源站设好之后剥掉或加上响应头。
该开 HSTS preload 吗？
只有当每一个子域名——现在的和将来的——都能提供 HTTPS 时才开。preload 是烧进浏览器里的，移除要几个月。先用一个短的 `max-age` 跑，确定没问题再调高。
可以从这些接进来
HTTP 响应头检测
HTTP Header Inspector
请求一个网址，列出完整的响应头、跳转链路、各段耗时和实际用到的压缩方式。
SSL 证书检测
SSL Certificate Checker
连上主机，展示它下发的证书链、到期时间、协议和加密套件支持情况，并指出证书链里缺失的环节。
SRI 完整性哈希生成
Subresource Integrity Hash
为你粘贴或拖进来的脚本、样式表算出 Subresource Integrity 属性（sha256/384/512）。
CSP 内容安全策略生成
CSP Builder
按引导表单或一份违规报告生成 Content-Security-Policy，并逐条解释每个指令。
接下来
这些工具吃得下当前工具的产出，结果可以直接送过去。
CORS 跨域检测
CORS Tester
从你指定的来源发出浏览器会发的预检请求，再带上同一个 Origin 发一次 GET，并按 Fetch 标准的规则说清究竟是哪个响应头把它挡住了。
CSP 内容安全策略生成
CSP Builder
按引导表单或一份违规报告生成 Content-Security-Policy，并逐条解释每个指令。
HTTP 响应头检测
HTTP Header Inspector
请求一个网址，列出完整的响应头、跳转链路、各段耗时和实际用到的压缩方式。
SSL 证书检测
SSL Certificate Checker
连上主机，展示它下发的证书链、到期时间、协议和加密套件支持情况，并指出证书链里缺失的环节。
CSV 清洗
CSV Cleaner
去掉单元格首尾空白、统一表头、修正数字和日期格式，并报出列数对不上的行。
CSV 表关联（VLOOKUP）
CSV Join
按键列做内连接、左连接、右连接或全连接，并把没匹配上的行单独列出来。