Перевірка безпеки HTTP

Більшість збоїв веб-безпеки не є розумними атаками. Це заголовок, який ніколи не встановлювався, або номер версії, який сервер добровільно повідомляє будь-кому, хто запитує. Направте сканер на сайт, яким ви керуєте, і отримуйте заголовки та технології, що стоять за ним, оцінювані, зберігаються та спостерігайте протягом дня, коли вони зміняться.

Шість причин перевірити власний рівень HTTP

Заголовки є найдешевшим цінним паперомробота є. Це конфігурація, а не код, і більшість із них складаються з одного рядка.

Знайдіть заголовки, які ніколи не встановлювалися

Заголовки безпеки – це інструкції, які веб-сайт дає веб-переглядачу щодо того, як з ними поводитися. Без них веб-переглядач застосовує свої параметри за замовчуванням, які є дозволеними за задумом, оскільки Інтернет повинен працювати на сайтах, створених двадцять років тому. Ніщо не ламається, коли заголовок відсутній, саме тому він залишаєтьсявідсутній.

Заборонити серверу представлятися

Стандартна інсталяція часто повідомляє про програмне забезпечення та версію в кожній відповіді. Це не вразливість сама по собі, і це також перше, що читає зловмисник - це перетворює «знайти шлях» на «знайти відомі недоліки в цій точній версії». Вимкнення банера не коштує нічого.

Перевірте заголовки, які стосуються лише правої сторінки

Strict-Transport-Security на маркетинговій домашній сторінці, а не на сторінці входу, є звичайною та тихою помилкою. Прапори файлів cookie однакові: Secure і HttpOnly встановлені для одного файлу cookie та забуті для файлу cookie сеансу. Тестування однієї URL-адреси повідомляє вам про одну URL-адресу.

Подивіться, які технології ви насправді використовуєте

Відповідь зазвичай розкриває структуру, сервер і часто CMS. Знання того, що можна виявити ззовні, - це початокщоб дізнатися, чи є якась із них застарілою – і часто це не та версія, яку команда вважає розгорнутою.

Зрозумійте, що розгортання тихо видалено

Заголовки живуть у конфігурації, яка замінюється: новий зворотний проксі, CDN, доданий попереду, оновлення фреймворку, яке скидає стандартні налаштування. Після цього сайт виглядає ідентично. Заголовки зникли, і ніхто не дивиться на заголовки, якщо щось не так.

Надайте докази для aперевірка безпеки

Анкета безпеки клієнта запитує, чи ви встановили Content-Security-Policy. Датований звіт, який показує, які заголовки повертає кожен хост, є кращою відповіддю, ніж галочка в полі, і це докази, які ви можете зберегти.

Дізнайтеся день зміни конфігурації

Конфігурація HTTP не змінюється поступово. Він змінюється за одне розгортання, і зміни невидимі в браузері.

Планові сканування перетворюють це нарізниця, про яку вам говорять: цей заголовок зник, ця технологічна версія пішла назад, цей рівень знизився. Сповіщення надходять у додаток, електронною поштою або через Slack, Teams, Jira чи веб-хук.

Крок 01 · Назвіть ціль

Ім’я хоста або домен, яким ви керуєте, додано до вашого облікового запису AYAsec. Право власності перевіряється перед надсиланням – AYAsec не плануватиме сканування інфраструктури, над якою ви не продемонстрували контроль, і [для підтвердження цього потрібен один запис DNS] (https://docs.ayasec.ai/guides/verify-domain/cloudflare/). Швидка перевірка вище пропускає це: немає облікового запису, немає перевірки, лише обмеження швидкості IP-адреси та правило, згідно з яким мета має бути публічноюадресу.

Крок 02 · Виберіть профіль

Три глибини. Пасивний читає те, що повертає сайт, не перевіряючи його. Активний надсилає тестові запити, щоб знайти слабкі місця, які з’являються лише під ними. Розширений знову йде далі. Пасивний захищений від будь-чого; глибші профілі є реальним трафіком і повинні бути спрямовані на те, що ви очікуєте від них.

Крок 03 · Прочитайте результат

Висновки надходять упорядковані за ступенем серйозності та оцінюються від A+ до F. HTTPмає найбільшу вагу в композитному класі - 30%, більше, ніж будь-який інший шар - тому що це місце, де насправді живе більшість того, що доступно.

Що перевіряє сканування

Заголовки безпеки

Які з них присутні, які відсутні, і чи цінності роблять те, що вони виглядають, як вони роблять. Content-Security-Policy, який дозволяє все, присутній і марний.

Виявлення технології

Сервер, фреймворк ібібліотеки, які розкривають відповіді, з версіями, де вони розкриваються.

Відомі веб-уразливості

Після входу в активний або розширений профіль сканування здійснюється за допомогою OWASP ZAP, сканера веб-додатків із відкритим кодом, який підтримується Open Worldwide Application Security Project, і інструменту, з яким порівнюється ця категорія. Швидка перевірка вище залишається пасивною: без ZAP, без зондування, лише один запит, необхідний для читаннязаголовки. HTTP є одним із п’яти оцінених рівнів. Інші: TLS, порти і DNS по 20% кожен, а довіра до домену – 10%.

Запитання перед скануванням

Що можна сканувати?

Інфраструктура, якою ви володієте або ви замовили тестування. Швидка перевірка вище не підтверджує це для вас - вона лише обмежує швидкість IP-адресою та відмовляється націлюватися на будь-що, окрім публічної адреси. Додайте ціль доЗамість цього обліковий запис AYAsec, і контроль перевіряється перед виконанням будь-яких запланованих завдань: це як юридичне, так і практичне обмеження, оскільки неперевірене сканування також не є для вас доказом.

Чи сканування порушить роботу сайту?

Пасивного профілю не буде - він читає відповіді на звичайні запити. Активний і розширений профілі надсилають тестові запити за дизайном, саме так вони знаходять те, чого не можуть зробити пасивні перевірки. Наведіть їх на ваше оточенняготові до зондування.

Це тест на проникнення?

Ні, і це не замінює жодного. Автоматичне сканування знаходить класи проблем, які можна знайти автоматично. Тест на проникнення - це людина, яка шукає тих, хто не може.

Ми використовуємо CDN. Я тестую свій сайт чи їхній?

І те, і інше, і це варто знати. Заголовки, які отримує відвідувач, – це ті, які надсилає CDN, незалежно від того, хто їх встановив. Якщо ваше джерело встановлює заголовок, CDN смугує,відвідувач не отримує – і сканування показує, що отримує відвідувач.

Чи справді відсутні заголовки важливі?

Індивідуально, часто не дуже. Разом вони є різницею між браузером, який захищає ваших користувачів, і браузером, який виконує все, що йому наказують. Крім того, вони є найдешевшим виправленням будь-якої затримки безпеки, що робить їх бідними, щоб їх досі залишали відкритими.

Ви зберігаєте результати?

Не швидка перевірка вище - він живе в пам'яті приблизно п'ятнадцять хвилин, тому ви можете прочитати його один раз, а потім він зникає. Це свідомий вибір конфіденційності, а не обмеження: ніхто, крім вас, ніколи не бачить це сканування, і ви можете завантажити повний результат до закінчення терміну його дії. Натомість додайте ціль до облікового запису AYAsec, і кожне сканування збережеться – серія, яка повідомляє вам, яке розгортання видалило заголовок. Утримання залежить від вашого плану.

Зберігайте історію, а не просторезультат

Запустіть повний сканер свого майна за розкладом, зберігаючи кожен результат і позначаючи кожну зміну.

Почніть безкоштовне сканування Порівняти плани

Більше безкоштовних сканерів безпеки для TLS, портів і DNS

HTTP є одним із п’яти оцінених рівнів. Кожен з інших відповідає на інше запитання:

View all free security scanners

Онлайн-сканер портів

про що цей маєток готовий поговорити знезнайомець про?

Засіб перевірки SSL/TLS

чи є звук шифрування, і коли закінчується термін дії сертифіката?

[Засіб перевірки безпеки DNS] (/dns-security-checker/) - чи може будь-хто надсилати пошту, яка виглядає так, ніби вона надійшла від вас?

Усі п’ять разом - це те, що [керування поверхнею атаки] (/attack-surface-management/) означає на практиці.

Структуровані дані для вбудовування

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

Не додавайте розмітку FAQPage або HowTo – Google вилучив обидва типи результатів.