בדיקת כותרות אבטחה

חלק מההגנות האפקטיביות ביותר באתרים הן כותרות תשובה פשוטות של HTTP, שמוגדרות פעם אחת בשרת. הבדיקה מביאה את כותרות התשובה של כתובת URL ציבורית, עוקבת אחרי הפניות עד הדף הסופי ובודקת אותן אחת אחת:

• Strict-Transport-Security גורמת לדפדפנים להשתמש רק ב-HTTPS.
• Content-Security-Policy מגבילה מאיפה מותר לטעון סקריפטים ומשאבים אחרים, ועם frame-ancestors – מי רשאי למסגר את הדף.
• X-Content-Type-Options: nosniff מונעת מדפדפנים לנחש סוגי קבצים.
• Referrer-Policy קובעת כמה מכתובת ה-URL מועבר לאתרים אחרים.
• Permissions-Policy מכבה יכולות דפדפן שהאתר לא משתמש בהן.
• Cross-Origin-Opener-Policy מבודדת את הדף מחלונות שהוא פותח.

היא גם מסמנת גרסאות תוכנה שנחשפות ב-Server או ב-X-Powered-By. התוצאה היא רשימת בדיקה, לא דירוג אבטחה: כותרות הן שכבה אחת מתוך רבות.