HTTP 安全检查器

大多数网络安全失败都不是巧妙的攻击。它们是从未设置过的标头，或者是服务器自愿向任何询问的人提供的版本号。 将扫描仪指向您控制的站点，并获取标头及其背后的技术 - 进行分级、保留和监视，以备将来发生任何变化。

检查自己的 HTTP 层的六个理由

标头是最便宜的安全性那里有工作。它们是配置，而不是代码，而且大多数都是一行。

查找从未设置过的标头

安全标头是网站向浏览器提供的有关如何处理它的说明。如果没有它们，浏览器将应用其默认值，这些默认值在设计上是允许的，因为网络必须继续为二十年前编写的网站工作。当标头丢失时，不会造成任何破坏，这正是它保留下来的原因丢失的。

阻止服务器自我介绍

默认安装通常会在每次响应中宣布其软件和版本。这本身并不是一个漏洞，而且它也是攻击者读到的第一件事--它将“找到进入的方法”变成“查找这个确切版本中的已知缺陷”。关闭横幅不需要任何成本。

检查仅适用于右侧页面的标题

Strict-Transport-Security 出现在营销主页上而不是出现在登录页面上是一种常见且无声的失败。 Cookie 标志相同：Secure 和 HttpOnly 设置在一个 Cookie 上，并在会话 Cookie 上被遗忘。测试一个 URL 会告诉您有关一个 URL 的信息。

查看您实际运行哪些技术

响应通常会显示框架、服务器以及 CMS。了解从外部可检测到的内容是开始了解其中是否有任何内容是否已过时的要点 - 而且它通常不是团队认为已部署的版本。

了解部署悄悄删除的内容

标头存在于被替换的配置中：新的反向代理、前面添加的 CDN、重置默认值的框架升级。之后该网站看起来完全相同。标题消失了，除非出现问题，否则没有人查看标题。

提供证据安全审查

客户的安全调查问卷询问您是否设置了内容安全策略。显示每个主机返回哪些标头的带日期的报告比在框中打勾更好的答案，并且它是您可以保留的证据。

知道您的配置更改的日期

HTTP 配置不会逐渐漂移。它在一次部署中发生变化，并且该变化在浏览器中是不可见的。

计划扫描将其变成你被告知的一个区别是：这个标题消失了，这个技术版本倒退了，这个等级下降了。警报通过电子邮件、Slack、Teams、Jira 或 Webhook 到达应用程序内。

步骤 01 · 命名目标

您控制的主机名或域，已添加到您的 AYAsec 帐户。在分派任何内容之前都会检查所有权 - AYAsec 不会安排对您未证明控制的基础设施进行扫描，并且证明需要一条 DNS 记录。上面的快速检查跳过了这一点：没有帐户，没有验证，只有 IP 速率限制以及目标必须是公共的规则地址。

步骤02·选择个人资料

三深。被动读取站点返回的内容而不进行探测。主动发送测试请求以查找仅出现在其下方的弱点。扩展再次走得更远。被动可以抵御任何事物；更深层次的个人资料是真实的流量，应该指出您期望他们接触的内容。

步骤03·读取结果

结果按严重程度排序，得分为 A+ 到 F。 HTTP在复合等级中承载着最重的重量 - 30%，比任何其他层都重 - 因为它是大多数可到达的实际存在的地方。

扫描检查什么

安全标头

哪些存在，哪些缺失，以及这些值是否在做它们看起来正在做的事情。 A Content-Security-Policy that allows everything is present and useless.

技术检测

服务器、框架和响应揭示的库，以及它们被披露的版本。

已知的网络漏洞

一旦您登录活动或扩展配置文件，扫描将由 OWASP ZAP 提供支持，OWASP ZAP 是由开放全球应用程序安全项目维护的开源 Web 应用程序扫描程序，也是衡量此类别的工具。上面的快速检查保持被动：没有 ZAP，没有探测，只有一个读取所需的请求标头。 HTTP 是五个评分层之一。其他为 TLS、端口和 DNS，各占 20%，域可信度为 10%。

扫描前的问题

我可以扫描什么？

您拥有或签约测试的基础设施。上面的快速检查并不能为您验证这一点 - 它仅按 IP 进行速率限制，并且拒绝以公共地址以外的任何目标为目标。将目标添加到取而代之的是 AYAsec 帐户，并且在任何计划运行之前都会验证控制权：法律边界与实际边界一样重要，因为未经验证的扫描对您来说也没有任何证据用处。

扫描会破坏网站吗？

被动配置文件不会 - 它读取对普通请求的响应。主动和扩展配置文件按设计发送测试请求，这就是它们发现被动检查无法发现的东西的方式。 Point those at an environment youare prepared to have probed.

这是渗透测试吗？

不，它也不能取代它。自动扫描可查找可自动发现的问题类别。渗透测试是一个人寻找那些不能的测试。

我们使用 CDN。我是在测试我的网站还是他们的网站？

两者都是，这是值得了解的。访问者收到的标头是 CDN 发送的标头，无论是谁设置的。 If your origin sets a header the CDN strips, the访客没有得到它 - 扫描会显示访客得到了什么。

缺少标头真的很重要吗？

就个人而言，通常不多。总的来说，它们是保护用户的浏览器和按指令行事的浏览器之间的区别。它们也是解决所有安全积压问题的最便宜的方法，这使得它们仍然处于开放状态是一件很糟糕的事情。

你保留结果吗？

不是上面的快速检查 - 它会在内存中保存大约十五分钟，因此您可以阅读一次，然后它就消失了。这是一个经过深思熟虑的隐私选择，而不是限制：除了您之外没有人看到该扫描，并且您可以在其过期之前下载完整的结果。相反，将目标添加到 AYAsec 帐户，并且每次扫描都会保留 - 一系列扫描会告诉您哪个部署删除了标头。保留取决于您的计划。

保留历史，而不仅仅是结果

按计划对您自己的资产运行完整的扫描程序，保留每个结果并标记每个更改。

开始免费扫描比较计划

要嵌入的结构化数据

{
  "@context": "https://schema.org",
  "@type": "SoftwareApplication",
  "name": "AYAsec HTTP Security Checker",
  "applicationCategory": "SecurityApplication",
  "operatingSystem": "Web browser",
  "url": "https://ayasec.ai/http-security-checker/",
  "offers": { "@type": "Offer", "price": "0", "priceCurrency": "EUR" }
}

请勿添加 FAQPage 或 HowTo 标记 - Google 撤回了这两种结果类型。