Prüfer für HTTP-Sicherheitskopfzeilen

Sicherheitskopfzeilen sind leicht zu setzen und leicht nutzlos zu setzen. Eine Content-Security-Policy, die unsafe-inline erlaubt, ist vorhanden und richtet gegen den Angriff, für den sie da ist, nichts aus. Hier wird gelesen, was eine Adresse wirklich zurückschickt, und die Wirkung beurteilt, nicht das Dasein.

Die Adresse wird einmal von diesem Server abgerufen, mit einem schlichten GET und ohne Cookies. Anfragen in private Netze, an Loopback- und Link-local-Adressen werden abgelehnt, auch über Weiterleitungen. Die Abfrage ist über reCAPTCHA v3 geschützt; die aufrufende IP-Adresse und die Größe der Anfrage werden sieben Tage lang gespeichert, um die Häufigkeit zu begrenzen und Missbrauch zu erkennen; die Eingabe selbst wird nicht gespeichert.

Kopfzeilen prüfen