Verifica HTTPS e header di sicurezza
Inserisci l'indirizzo di un sito: controllo il passaggio da http a https e gli header di sicurezza che il server invia, con il codice per aggiungere quelli mancanti.
Gli header di sicurezza sono istruzioni che il server invia al browser per proteggere i visitatori da attacchi comuni, come l’inserimento di codice o l’apertura del sito dentro una pagina altrui. Costano poche righe di configurazione, ma spesso mancano.
Cosa controlla
- Che la versione http:// rimandi alla versione https:// con un redirect permanente.
- Strict-Transport-Security (HSTS), con durata e sottodomini.
- Content-Security-Policy, X-Frame-Options, X-Content-Type-Options.
- Referrer-Policy, Permissions-Policy e Cross-Origin-Opener-Policy.
- Header che rivelano software e versioni del server.
Il codice da aggiungere
Per ogni header mancante ottieni le righe da copiare per Apache (.htaccess) e per Nginx. Applica la Content-Security-Policy con cautela: una regola troppo stretta blocca script e stili del sito, quindi provala prima in modalità solo report. Per un controllo completo della sicurezza rivolgiti a uno specialista.
