Заголовки ответа, которые закрывают целые классы атак: перехват сессии, встраивание сайта в чужой фрейм, подмену типа файла. Проверим каждый, поставим оценку и дадим строку, которую нужно добавить в конфигурацию.
Да, если включить сразу строгую политику: заблокируются счётчики, виджеты и встроенные скрипты. Начинайте с заголовка Content-Security-Policy-Report-Only — он только сообщает о нарушениях, — а когда список источников устоится, переключайте на рабочий.
Нет. Современные браузеры этот фильтр убрали, а в старых он сам бывал источником уязвимостей. Если заголовок стоит, вреда почти нет, но и защиты он не даёт — вместо него нужна CSP.
Их ставит скрипт в браузере, и в ответе сервера их нет. Проверяются только cookie, которые отдаёт сам сервер, — в первую очередь сессия, её и уводят.
Сколько дней до окончания, кем выдан, покрывает ли домен с www, полная ли цепочка и доверяют ли ему браузеры.
Какой код отдаёт адрес, все заголовки ответа, время до первого байта, IP, протокол и сжатие — глазами браузера или робота.
Сжимает ли сервер страницу (gzip, Brotli, zstd) и насколько, кэшируются ли стили, скрипты и картинки, работает ли 304.
Аудит в кабинете проверяет заголовки безопасности каждую неделю и показывает в истории, когда очередная выкатка потеряла HSTS или CSP.
