SSL 与安全响应头检查工具

检查网站的 SSL 证书及关键安全响应头

为什么检查 SSL 与安全响应头？

检查证书到期时间和响应头，找出需要复核的配置。

存在HSTS、CSP、X-Frame-Options等响应头，不证明策略有效；单独缺失也不证明存在可利用漏洞。应检查实际指令和应用行为，CSP启用拦截前先测试，并核查iframe需求。CDN可能独立修改源站响应头。此清单不能替代安全评估。

仅供说明，并非对您网站的检查。

证书有效但缺少CSP，说明值得检查资源策略；单凭这一点不能认定存在XSS漏洞。

列出合法脚本、图片、字体与iframe。启用拦截前先使用Content-Security-Policy-Report-Only，并测试登录和支付流程，也要评估frame-ancestors。响应头清单不能替代安全审计。

SSL 证书应提前多久续期？

至少提前 14 天。若使用 Let's Encrypt（90 天周期），请启用自动续期，以免忘记。

HSTS 响应头有什么作用？

Strict-Transport-Security 强制浏览器始终通过 HTTPS 连接，防止攻击者将连接降级为未加密的 HTTP。

缺少 X-Frame-Options 危险吗？

危险。如果没有该响应头（或 CSP frame-ancestors 规则），您的页面可被嵌入隐藏的 iframe，诱骗用户点击（点击劫持）。

此工具能检查仅使用 HTTP 的网站（无 SSL）吗？

可以，它仍会扫描网站，但会标记缺少 HTTPS，并跳过证书部分，因为没有 SSL 可供读取。