انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
العودة إلى الأدوات

أداة فحص HSTS

افحص ترويسة Strict-Transport-Security التي يرسلها الموقع: هل ستقبلها المتصفحات، وكم تدوم، وهل تشمل النطاقات الفرعية، وهل تستوفي متطلبات hstspreload.org.
ابدأ فحصًا
  • فحص غير اقتحامي
  • أهلية الإدراج في قائمة التحميل المسبق لـHSTS

ما فحص HSTS؟

أمان النقل الصارم عبر HTTP (HSTS، RFC 6797) ترويسة استجابة تطلب من المتصفحات ألا تستخدم إلا HTTPS مع المضيف طوال المدة المحددة بالثواني في max-age، ومع نطاقاته الفرعية أيضًا عندما تتضمن includeSubDomains. ويجلب فحص HSTS الموقع عبر HTTPS، ويقرأ الترويسة، ويتأكد من اتباعها قواعد صياغة RFC 6797، لأن المتصفحات تتجاهل الترويسة ذات الصياغة غير السليمة كليًا.

يُجري الفاحص الفحص نفسه الذي تجريه أداة فحص ترويسات الأمان، لذا يُحفظ كل فحص أيضًا كتقرير كامل لترويسات الأمان برابط قابل للمشاركة.

ما الذي يعرضه فاحص HSTS

يقرأ الفاحص ترويسة Strict-Transport-Security من استجابة HTTPS ويحلّلها بالطريقة التي يحددها RFC 6797 للمتصفحات.

max-age

المدة، بالثواني، التي تواصل فيها المتصفحات استخدام HTTPS مع المضيف. والحد الأدنى لقائمة التحميل المسبق سنة واحدة (31536000). وتطلب القيمة max-age=0 من المتصفحات نسيان السياسة.

includeSubDomains

يطبّق السياسة على كل نطاق فرعي. تحقّق من أن كل نطاق فرعي يعمل عبر HTTPS قبل إضافته.

preload

يطلب الإدراج في قائمة التحميل المسبق في المتصفحات. يوصي hstspreload.org باستخدام HSTS لا بالتحميل المسبق، لأن متصفحات مثل Chrome وSafari تحوّل أصلًا عمليات التنقل عبر HTTP إلى HTTPS، ولأن الإزالة من القائمة بطيئة.

الصياغة

التوجيه max-age إلزامي، ولا يجوز أن يظهر أي توجيه إلا مرة واحدة. وتتجاهل المتصفحات الترويسة التي تخالف هذه القواعد، وعندما ترسل الاستجابة عدة ترويسات HSTS لا تستخدم إلا الأولى.

متطلبات التحميل المسبق لـHSTS

لا يقبل hstspreload.org النطاق إلا إذا قدّم شهادة صالحة، وأعاد توجيه HTTP إلى HTTPS على المضيف نفسه، وقدّم كل نطاقاته الفرعية عبر HTTPS، وأرسل على النطاق الأساسي ترويسة HSTS تتضمن max-age لا تقل عن 31536000، وincludeSubDomains، وpreload. ويختبر الفاحص المتطلبات التي يستطيع رؤيتها ويُعلِّم البقية لتتحقق منها بنفسك. ويعود القرار النهائي إلى hstspreload.org، الذي لا يوثّق واجهة API عامة، لذا لا يتحقق الفاحص مما إذا كان النطاق مدرجًا في القائمة بالفعل.

كيف يعمل التقييم من A+ إلى F

تحصل قيمة max-age التي لا تقل عن سنة واحدة على 90 نقطة، والتي لا تقل عن 30 يومًا على 75، والتي لا تقل عن يوم واحد على 60، وأي قيمة أقصر على 45. ويضيف includeSubDomains عشر نقاط (10). وتحصل الترويسة المفقودة أو ذات الصياغة غير السليمة، أو max-age=0، على 0. ولا يضيف توجيه preload شيئًا، لأن hstspreload.org لا يوصي بالتحميل المسبق.
A+
95-100
A
85-94
B
70-84
C
55-69
D
40-54
F
0-39

فحوصات ذات صلة والخطوات التالية

خدمات Cloudflare المُدارة

حافظ على ضبط Cloudflare ومراقبته وتحسينه. تتولى Vigilbase التغييرات والاستجابة للحوادث المتفق عليها، مع خيارات تغطية Core وPriority وCritical.

استكشف خدمات Cloudflare المُدارة

SOC مُدار

SOC مُدار على أدوات الأمان التي تدفع مقابلها بالفعل. يحقق وكيل Vigil، ويتولى محللونا الحالات الاستثنائية، وتتبع التغطية مستوى اتفاقية الخدمة لديك.

استكشف خدمة SOC المُدارة
راسل خبير أمن

المصادر

الأسئلة

أسئلة شائعة عن أداة فحص HSTS

ما ترويسة HSTS الجيدة؟

تُعد max-age=31536000; includeSubDomains هدفًا شائعًا بعد أن يصبح كل نطاق فرعي متاحًا عبر HTTPS. والمثال المذكور على hstspreload.org، للمواقع التي تختار التحميل المسبق، هو max-age=63072000; includeSubDomains; preload.فاحص ترويسات أمن HTTP

هل أُدرج نطاقي في قائمة التحميل المسبق؟

فقط بعد دراسة الأمر بعناية. يذكر hstspreload.org أن التحميل المسبق لـHSTS غير موصى به، وأن وصول الإزالة إلى المستخدمين يستغرق أشهرًا، وأنه لا ينبغي للأدوات إضافة توجيه preload افتراضيًا. ويشمل التحميل المسبق كل النطاقات الفرعية، بما فيها الداخلية.

كيف أنشر HSTS بأمان؟

يقترح hstspreload.org التحقق من أن كل نطاق فرعي يعمل عبر HTTPS، ثم رفع max-age على مراحل (5 دقائق، ثم أسبوع، ثم شهر) مع includeSubDomains، وانتظار انقضاء مدة max-age كاملة في كل مرحلة ومراقبة أي مشكلات قبل الانتقال إلى المرحلة التالية.

لماذا يقول الفاحص إن ترويستي غير صالحة؟

يشترط RFC 6797 وجود max-age ولا يسمح بتكرار أي توجيه. وتتجاهل المتصفحات الترويسة التي تخالف قواعد الصياغة، مثل ترويسة تحتوي على توجيهَي max-age، أو قيمة max-age ليست عددًا صحيحًا من الثواني.

هل يشمل HSTS المضبوط على www النطاق الأساسي؟

لا. ينطبق HSTS على المضيف الذي أرسله، وعلى نطاقاته الفرعية عند استخدام includeSubDomains. اضبطه على النطاق الأساسي ليشمل كل شيء، فهناك أيضًا يفحصه hstspreload.org.

هل تُحتسب ترويسة HSTS المرسلة عبر HTTP العادي؟

لا. يطلب RFC 6797 من المتصفحات تجاهل ترويسات HSTS المستلمة عبر HTTP. وتسري السياسة بعد أن يحمّل المتصفح الموقع عبر HTTPS مرة واحدة، ما لم يكن النطاق مدرجًا في قائمة التحميل المسبق.