SSL 和安全标头：解读配置检查

SSL 和标头检查可以揭示证书或响应配置问题。它并不能证明应用程序完全没有漏洞，缺少某个标头也不代表一定存在可利用的攻击。

检查实际连接与响应

检查所请求的主机名、证书有效性、信任链以及最终的 HTTPS 目标。随后检查代表性页面返回的标头，包括在授权情况下的已认证路由和公开路由。重定向响应、缓存页面以及应用程序错误可能会采用不同的配置，因此仅凭一次成功的首页响应并不能算作全面的审查。

为应用程序选择策略

内容安全策略 (CSP)、HSTS 及其他标头有着不同的用途。从其他网站直接复制的严格策略可能会破坏脚本、嵌入内容或集成。在实施广泛限制之前，请明确所需的资源、测试合适的策略并监控违规情况。HSTS 在浏览器中具有持久影响，需要格外小心。

示例说明：支付小部件在 CSP 更改后失效

假设新策略阻止加载所需的支付框架。在授权测试中重现结账失败的情况，检查浏览器的策略违规信息并核实预期的提供商源。仅调整必要的指令并再次测试完整流程。切勿为了让某个小部件正常工作而禁用整个策略或盲目允许所有源。这是一个假设的配置示例。

建立验证清单

• 确认预期的 HTTPS 主机和证书。
• 检查 HTTP 到 HTTPS 的跳转以及代表性的错误响应。
• 测试登录、表单、嵌入资源和重要脚本。
• 记录策略更改及适当的回滚程序。
• 将自动化扫描结果视为调查队列，而非合规认证。

SearchBastion 的 SSL 检查器 提供初步的配置观察。访问控制、输入处理、依赖项管理和应用程序测试需要单独审查。绿色的标头得分并不能验证这些领域或保证搜索可见性。

在选择和测试策略之前，请参考 MDN 的 HTTP 标头参考。