فاحص ترويسات أمن HTTP
افحص ترويسات الأمن لأي عنوان URL، بما فيها CSP وHSTS وX-Frame-Options وReferrer-Policy. احصل على تقييم من A+ إلى F مع القيمة الموصى بها لكل ترويسة.
ما فحص ترويسات أمن HTTP؟
يجلب فحص ترويسات أمن HTTP عنوان URL عامًا، ويقيّم وجود ترويسات الاستجابة التي يفرضها المتصفح وصحة إعدادها. تقلل الترويسات القوية مخاطر XSS واختطاف النقرات والتخمين غير المرغوب لنوع MIME والنقل غير الآمن. تمنح Vigilbase النتيجة تقييمًا من A إلى F وتوضح ما ينبغي إصلاحه.
يمكن للوكلاء تشغيل الفحص غير الاقتحامي نفسه عبر POST /api/v1/agent/tools/security-headers/execute.
ما الذي يفحصه اختبار ترويسات الأمن هذا
يرسل الفحص طلبًا إلى عنوان URL الخاص بك، ويقرأ ترويسات الاستجابة ويقيّم عشرًا منها. تُمنح كل ترويسة درجة من 10 مقارنةً بقيمتها الموصى بها، ثم تُرجَّح بحسب مقدار الحماية الذي تضيفه.
Content-Security-Policy
الوزن: 20/100
تحدّ من المصادر التي يمكن تحميل السكربتات والأنماط والإطارات والموارد الأخرى منها، ما يقلّل أثر البرمجة النصية عبر المواقع (XSS).
الموصى به: default-src 'self'; frame-ancestors 'none'
تخسر نقاطًا عند وجود 'unsafe-eval' أو 'unsafe-inline' أو حرف بدل * منفرد أو data: في مصادر السكربتات، وعند غياب توجيه default-src أو frame-ancestors.
Strict-Transport-Security
الوزن: 20/100
تطلب من المتصفحات استخدام HTTPS فقط للنطاق، ما يمنع خفض البروتوكول وكشف ملفات تعريف الارتباط عبر HTTP العادي.
الموصى به: max-age=31536000; includeSubDomains; preload
تخسر نقاطًا إذا كانت قيمة max-age أقل من سنة (وأكثر إذا كانت أقل من يوم) وعند غياب includeSubDomains أو preload.
X-Frame-Options
الوزن: 10/100
تمنع المواقع الأخرى من تضمين صفحاتك في إطارات، وهو أساس هجمات clickjacking.
الموصى به: DENY
تحصل SAMEORIGIN على الدرجة الكاملة تقريبًا. أما ALLOW-FROM المتقادمة والقيم غير الصالحة فتحصل على درجة أقل.
X-Content-Type-Options
الوزن: 10/100
تمنع المتصفحات من تخمين نوع محتوى الاستجابة (sniffing) وتشغيلها كسكربت.
الموصى به: nosniff
أي قيمة غير nosniff تحصل على درجة منخفضة.
Referrer-Policy
الوزن: 10/100
تتحكم في مقدار عنوان URL للصفحة الذي يُرسل إلى المواقع الأخرى في ترويسة Referer.
الموصى به: strict-origin-when-cross-origin
تحصل no-referrer على الدرجة الكاملة، وتحصل same-origin وstrict-origin على درجة جيدة. أما unsafe-url وno-referrer-when-downgrade فتحصلان على درجة أقل لأنهما قد تكشفان عناوين URL كاملة.
Permissions-Policy
الوزن: 10/100
تعطّل ميزات المتصفح مثل الكاميرا والميكروفون وتحديد الموقع الجغرافي في الصفحات التي لا تحتاج إليها.
الموصى به: camera=(), microphone=(), geolocation=()
تحصل السياسة الموجودة على معظم الدرجة. ويؤدي السماح بالكاميرا أو الميكروفون أو تحديد الموقع لكل المصادر إلى خسارة نقاط.
Cross-Origin-Opener-Policy
الوزن: 5/100
تفصل صفحتك عن النوافذ ذات المصادر الأخرى التي تفتحها أو التي تفتحها.
الموصى به: same-origin
تحصل same-origin-allow-popups على درجة جزئية، وتحصل unsafe-none على درجة منخفضة.
Cross-Origin-Embedder-Policy
الوزن: 5/100
تشترط موافقة الموارد ذات المصادر الأخرى صراحةً قبل أن تحمّلها الصفحة. ومع COOP، تفعّل العزل عبر المصادر.
الموصى به: require-corp
تحصل credentialless على درجة جزئية، وتحصل unsafe-none على درجة منخفضة.
Cross-Origin-Resource-Policy
الوزن: 5/100
تمنع المواقع الأخرى من تحميل مواردك، مثل الصور والسكربتات، في صفحاتها.
الموصى به: same-origin
تحصل same-site على الدرجة الكاملة تقريبًا، وتحصل cross-origin على نصفها.
X-XSS-Protection
الوزن: 5/100
كانت تتحكم في مرشح XSS القديم في المتصفحات القديمة. وهي متقادمة، وتحل محلها Content-Security-Policy.
الموصى به: 0
تحتفظ بدرجة جزئية سواء كانت غائبة أو مضبوطة على 0 أو على 1; mode=block، لذا لا تغيّر المجموع بأكثر من 1.5 نقطة.
كيف يعمل التقييم من A+ إلى F
تُجمع درجات الترويسات المرجّحة في مجموع من 100. وتحصل الترويسة المفقودة على صفر في حصتها، باستثناء X-XSS-Protection. وإذا أعاد عنوان URL حالة خطأ أو تحدّيًا للتحقق من الروبوتات، يُعرض الناتج على أنه تعذّر تقييمه، دون تقييم.
- A+
- 90-100
- A
- 80-89
- B
- 65-79
- C
- 50-64
- D
- 35-49
- F
- 0-34
يعني التقييم المرتفع أن الترويسات تطابق خط الأساس هذا وقت الفحص. ولا يختبر الفحص شيفرة التطبيق أو المصادقة أو بقية الموقع، وينبغي أن تلائم كل سياسة الميزات التي تستخدمها صفحاتك قبل فرضها. مشروع OWASP Secure Headers
الأسئلة
أسئلة شائعة عن فاحص ترويسات الأمن
ما الذي يفعله فاحص ترويسات أمن HTTP من Vigilbase؟
يجلب URL عامًا، ويفحص ترويسات الاستجابة وفق توقعات OWASP Secure Headers Project، ويقدم تقييمًا من A إلى F مع نتائج كل ترويسة وإرشادات الإصلاح.تصف النتيجة الاستجابات المتاحة وقت الفحص. لا تختبر درجة الترويسات سلوك التطبيق بعد المصادقة، ولا تثبت خلو الموقع من الثغرات.دليل عملي لحماية المواقعفحص أمان المواقع
ما الترويسات التي تُفحص؟
يشمل الفحص Content-Security-Policy وStrict-Transport-Security وX-Content-Type-Options وX-Frame-Options وReferrer-Policy وPermissions-Policy، وترويسات العزل بين المصادر مثل COOP وCOEP وCORP.ينبغي أن تناسب الترويسات التطبيق وميزات المتصفح التي يستخدمها. اختبروا سياسات CSP والتضمين داخل الإطارات والوصول عبر الأصول المقترحة باستخدام رحلات مستخدم ممثلة للاستخدام قبل فرضها.دليل عملي لحماية المواقعتشغيل WAF المُدار وإدارة التغيير
كيف يُحسب تقييم ترويسات الأمن؟
تُمنح كل ترويسة من الترويسات العشر درجة من 10 مقارنةً بقيمتها الموصى بها، ثم تُرجَّح: تحتسب Content-Security-Policy وStrict-Transport-Security بعشرين نقطة لكل منهما، وX-Frame-Options وX-Content-Type-Options وReferrer-Policy وPermissions-Policy بعشر نقاط لكل منها، وCOOP وCOEP وCORP وX-XSS-Protection بخمس نقاط لكل منها. ويقابل المجموع من 100 التقييمات A+ (90 فأكثر) وA (80) وB (65) وC (50) وD (35) أو F.تحصل الترويسة المفقودة على صفر في حصتها، باستثناء X-XSS-Protection المتقادمة التي تحتفظ بجزء من الدرجة. وتُعرض استجابات الأخطاء وتحديات التحقق من الروبوتات على أنها تعذّر تقييمها، دون تقييم.دليل عملي لحماية المواقعفحص أمان المواقع
ما القيم الموصى بها لترويسات الأمن؟
يتكوّن خط الأساس القوي من Strict-Transport-Security: max-age=31536000; includeSubDomains; preload، وX-Content-Type-Options: nosniff، وX-Frame-Options: DENY أو SAMEORIGIN، وReferrer-Policy: strict-origin-when-cross-origin، وPermissions-Policy تعطّل الميزات غير المستخدمة، وContent-Security-Policy تتضمن default-src وframe-ancestors وتتجنب 'unsafe-inline' و'unsafe-eval'.القيم الموصى بها نقطة بداية، لا سياسة جاهزة للنسخ واللصق. لا تفعّل HSTS preload إلا بعد أن تخدم جميع النطاقات الفرعية عبر HTTPS، واختبر ترويسات العزل عبر المصادر مع المحتوى المضمّن قبل فرضها.دليل عملي لحماية المواقعتشغيل WAF المُدار وإدارة التغيير
هل يستطيع الوكلاء تشغيل هذا الفحص ذاتيًا؟
نعم. يمكن للوكلاء إرسال POST {"target":"https://example.com"} إلى https://vigilbase.com/api/v1/agent/tools/security-headers/execute من دون Turnstile، مع مفتاح API اختياري للمطوّرين من https://one.vigilbase.com/developers. راجع https://vigilbase.com/ar/developers. وتبقى واجهة المتصفح متاحة للاستخدام التفاعلي.استخدموا مواصفات API الموثّقة والتزموا بحدود معدل الطلبات. تحلّل نقطة النهاية هذه الترويسات العامة؛ ولا تمنح إذنًا باختبارات تدخلية أو تغيّر إعدادات الهدف.تشغيل فحص عبر API العامةمصادقة API وحدود معدل الطلبات
هل فاحص ترويسات الأمن مجاني؟
نعم. الأداة العامة وواجهة API للوكلاء مجانيتان لتحليل الترويسات غير الاقتحامي. ولا يلزم حساب Vigilbase.لا يتطلب التحليل الأولي للترويسات حساب Vigilbase. قد تكون للتقارير الاختيارية والأدوات الأخرى متطلبات منفصلة للبريد الإلكتروني أو التفويض.مقارنة الفحوصات الأمنية العامةمتطلبات الوصول إلى الأدوات والتحقق
