Header di sicurezza dei siti dei clienti: HSTS, CSP e gli altri
Gli header di sicurezza costano poco e chiudono intere classi di attacchi, ma spariscono facilmente: un cambio di hosting, una CDN nuova o un plugin di cache li toglie senza dirlo a nessuno.
Si configurano una volta e poi nessuno li ricontrolla.
Un .htaccess sovrascritto durante una migrazione, una regola della CDN cambiata: gli header che avevi messo non ci sono più, e il sito sembra uguale.
Leggerli a mano con gli strumenti del browser è facile per un sito. Per cinquanta siti ogni mese no.
Cosa controlliamo.
Richiesta alla home
Dai nostri server leggiamo gli header che la home page manda davvero ai visitatori.
Confronto con le regole
Strict-Transport-Security, X-Content-Type-Options, protezione dal framing con X-Frame-Options o frame-ancestors, Content-Security-Policy, Referrer-Policy e Permissions-Policy.
Cosa fare
Ogni risultato dice quale header aggiungere e con quale valore di partenza, per esempio
max-age=31536000per HSTS.
Vuoi provarlo su un sito vero? La prova di 30 giorni non chiede la carta di credito.
Prova gratisDomande frequenti
Controllate tutte le pagine?
No, la home page. Di solito gli header arrivano dal server o dalla CDN e sono uguali su tutto il sito.
Posso aggiungere HSTS con preload subito?
Meglio di no. La guida consiglia `max-age=31536000` quando tutto il sito funziona in https, e `includeSubDomains` e `preload` solo dopo aver controllato ogni sottodominio.
Da vedere insieme
- 169 controlli automatici sulla configurazione di WordPress, Joomla, Drupal e PrestaShopAmministratori nascosti, impostazioni rischiose, database e file esposti, con cosa fare.
- Controllo della scadenza dei certificati SSL, sito per sitoAvvisi prima della scadenza, e subito se il certificato non è valido.
- Rilevare il cloaking: la pagina di Googlebot confrontata con quella dei visitatoriGooglebot, visitatore da Google e mobile a confronto, con parere AI.
- Hardening di WordPress controllato su tutti i siti, ogni giornoEditor dei file, chiavi di sicurezza, debug, XML-RPC e strumenti dimenticati.
Provalo sui siti dei tuoi clienti.
Collega oggi i primi siti e guarda cosa ci trova SitePing.
- Tutte le funzioni di Complete tranne i backup
- Fino a 10 siti
- Per iniziare non serve la carta di credito
- Alla fine scegli un piano o passi a Free, e non paghi niente
Hai già un account? Accedi. Preferisci guardare prima un sito? Audit gratuito in sola lettura.