SSL & Security Headers Checker

Vì sao cần kiểm tra SSL & security headers?

Đọc hạn chứng chỉ và response header để tìm cấu hình cần rà soát. Checklist header không thay thế đánh giá bảo mật toàn diện.

Công cụ kiểm tra chứng chỉ TLS được công khai và các header HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Có header không chứng minh chính sách hiệu quả; thiếu header riêng lẻ cũng chưa chứng minh lỗ hổng có thể khai thác. Cần đọc chỉ thị cụ thể và kiểm tra hành vi ứng dụng. Thử CSP trước khi áp dụng chặn, rà yêu cầu iframe trước khi hạn chế nhúng. Kiểm tra lại đúng hostname và đường dẫn sau thay đổi vì CDN có thể sửa header độc lập với origin.

• Hạn sử dụng chứng chỉ SSL, còn bao nhiêu ngày
• Checklist 6 security header quan trọng nhất
• Cảnh báo sớm trước khi chứng chỉ hết hạn

Ví dụ cách đọc và sửa kết quả

Ví dụ minh họa, không phải kết quả kiểm tra website của bạn.

Một trang có chứng chỉ còn hạn nhưng thiếu CSP. Đây là lý do để rà chính sách tải tài nguyên, chưa phải bằng chứng ứng dụng có lỗ hổng XSS.

Kiểm kê script, ảnh, font và iframe hợp lệ trước khi thiết kế CSP. Thử chính sách bằng Content-Security-Policy-Report-Only, kiểm tra luồng đăng nhập và thanh toán, rồi mới cân nhắc áp dụng chặn.

X-Frame-Options và CSP frame-ancestors có vai trò bảo vệ nhúng trang. Đánh giá chính sách thực tế thay vì thêm header trùng chỉ để đạt điểm. Một lần bắt tay TLS và đọc header không thay thế kiểm thử bảo mật ứng dụng.

MDN: Content-Security-Policy