📋 HTTP Headers Sjekk

Spørsmål og svar om HTTP-headers-sjekk

Hva er HTTP-headers?

Små meldinger serveren sender sammen med nettsiden. De forteller nettleseren blant annet hvordan siden skal mellomlagres, og hvilke sikkerhetsregler som gjelder.

Hvilke sikkerhetsheadere bør en nettside ha?

De viktigste er Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options og X-Frame-Options. Sammen stopper de mange vanlige angrep, som klikkapring og innsetting av fremmed kode.

Setter dere opp dette på webhotellet?

Ja. Nettsidene hos Kvisvik Nettutvikling får fornuftige sikkerhetsheadere, og vi hjelper deg å justere dem om nettsiden din trenger noe spesielt.

Hvordan leser jeg resultatet?

Verktøyet henter svarhodene serveren sender når nettstedet besøkes, og viser dem i en liste. Sikkerhetsheadere som finnes, er merket grønt. De som mangler, er merket slik at du ser hva som kan legges til.

Hva gjør HSTS?

Strict-Transport-Security forteller nettleseren at nettstedet bare skal åpnes over HTTPS i en gitt periode. Da kan ingen tvinge besøkende over på en ukryptert forbindelse, selv om de skriver adressen uten https.

Hva er Content-Security-Policy?

CSP er en liste over hvilke kilder siden får hente skript, stiler, bilder og skrifter fra. Et skript som ikke står på listen, blir stoppet av nettleseren. Det er en av de mest effektive beskyttelsene mot innsmett av fremmed kode, men den må testes godt, fordi en for streng regel kan stoppe ting siden trenger.

Kan headere avsløre for mye?

Ja. Headere som Server og X-Powered-By viser ofte nøyaktig programvare og versjon. Det gjør det enklere for angripere å finne kjente svakheter, så mange velger å skjule eller forkorte dem.

Påvirker headere hastigheten?

Hurtigbufferheadere som Cache-Control og Expires gjør at nettleseren kan gjenbruke filer i stedet for å laste dem ned på nytt. Riktig satt opp gir de raskere sider for besøkende som kommer tilbake.

Hvordan legger jeg til sikkerhetsheadere?

På en Apache- eller LiteSpeed-server legges de vanligvis inn i .htaccess med Header set, på nginx i serverkonfigurasjonen. I WordPress finnes det også tillegg som gjør det. Test siden etter hver endring, og sjekk den på nytt her for å se at headerne kommer med.