Проверка HTTP-заголовков безопасности

С чего начать, если вы только начинаете

Заголовки не равноценны и не одинаково рискованны при внедрении. Вот порядок, дающий больше всего защиты при наименьшем шансе что-нибудь сломать:

Последняя строка — самая важная и единственная, требующая настоящей работы. Всё, что выше неё, — это один вечер.

HSTS и одно необратимое решение внутри него

Strict-Transport-Security велит браузеру использовать для этого узла HTTPS в течение следующих max-age секунд, что бы ни случилось. Он закрывает узкую, но реальную щель: посетитель, набравший example.com, делает один незашифрованный запрос до вашего перенаправления, и этот запрос можно перехватить.

Strict-Transport-Security: max-age=31536000; includeSubDomains

includeSubDomains важнее, чем кажется. Без него поддомен, отдаваемый по HTTP, всё ещё может ставить куки для родительского домена. С ним каждый поддомен обязан работать только по HTTPS, иначе становится недоступным, — так что проверьте, прежде чем добавлять.

Директива preload — вот над чем стоит крепко подумать. Она вписывает ваш домен в списки предзагрузки, поставляемые вместе с браузерами, так что HTTPS принуждается ещё до первого запроса. Она же практически необратима: удаление требует заявки сопровождающим списка и затем ожидания, пока разойдутся релизы браузеров, — это месяцы. Отлично, когда вы уверены; и плохая идея, чтобы добавлять между делом.

CSP: режим только отчётов не опция

Content-Security-Policy — единственный здесь заголовок, останавливающий выполнение внедрённого скрипта, и единственный, способный уронить ваш сайт. Оба факта следуют из одного свойства: он ограничивает то, что вообще может загружаться.

Разверните его в режиме только отчётов со сборщиком и оставьте на несколько недель настоящего трафика. Обнаружится не то, что вы ожидали, читая код: найдётся забытый хост шрифтов, платёжный iframe и нередко скрипт, подмешанный на границе CDN, которого нет ни в одном исходном файле. Именно последняя категория и есть то, ради чего существует режим отчётов.

Content-Security-Policy-Report-Only: default-src 'self';
  script-src 'self'; object-src 'none'; base-uri 'self';
  report-uri /csp-report

Две вещи сводят на нет большую часть пользы. 'unsafe-inline' в script-src разрешает ровно тот внедрённый встроенный скрипт, ради остановки которого политика и существует, — выход в nonce или хешах. А 'unsafe-eval' возвращает eval и его родню, которые всё ещё нужны некоторым старым сборкам фреймворков. Проверщик отмечает оба как ослабление, а не как отсутствие, потому что политика с ними всё ещё делает полезную работу — просто не главную.

Заголовки, чьи рекомендации истекли

• `X-XSS-Protection` — управлял браузерным фильтром, удалённым из всех основных браузеров, и тот в своё время сам поддавался манипуляциям, ломавшим страницы. В 2026 году это не тот заголовок, который стоит выставлять.
• `Expect-CT` — устарел. Certificate Transparency теперь применяется безусловно, так что заголовок не делает ничего.
• `Feature-Policy` — переименован в Permissions-Policy, с другим синтаксисом. Учитывается только новое имя.
• `Public-Key-Pins` — удалён из браузеров, и правильно. Ошибка в нём выводила ваш домен из строя на весь срок закрепления без всякой возможности восстановиться.

Чего эта проверка не делает

Одна страница, один ответ. Она читает заголовки итогового ответа после всех перенаправлений и на этом останавливается. Она не обходит сайт, не выполняет JavaScript, не проверяет вашу конфигурацию TLS и не смотрит флаги кук, — а разные пути одного сайта могут отдавать совершенно разные заголовки, так что проверка главной страницы рассказывает о главной странице.

Что до конфигурации TLS, признанный и дотошный инструмент — Qualys SSL Labs. А сам сертификат читает этот: он показывает, что узел предъявляет на самом деле.