فاحص ترويسات HTTP: الأمان والتخزين المؤقت والفهرسة

طريقة الاستخدام

1. شغّل curl -I على عنوانك، أو انسخ ترويسات الاستجابة من لوحة الشبكة في المتصفح.
2. ألصقها في الخانة.
3. اقرأ الملاحظات مجمعة في الأمان والتخزين المؤقت وملفات الارتباط والفهرسة.
4. أصلح الترويسات في الخادم أو شبكة توصيل المحتوى، ثم ألصق استجابة جديدة للتأكد.

ما الذي تفحصه وكيف تعمل

تقرأ الأداة الترويسات التي تلصقها ولا تطلب شيئاً. وتُفحص ترويسات الأمان وفق ورقة OWASP لترويسات استجابة HTTP الأمنية، مثل X-Content-Type-Options وReferrer-Policy وStrict-Transport-Security وContent-Security-Policy وPermissions-Policy والترويسات التي تكشف الخادم. وتُقرأ Content-Security-Policy بحثاً عن 'unsafe-inline' و'unsafe-eval' اللذين ينصح MDN بتجنبهما. وتُقرأ Strict-Transport-Security عند قيمة max-age، ويذكر موقع hstspreload.org متطلبات التحميل المسبق، وهي max-age لا تقل عن 31536000 مع includeSubDomains، وتعرضها الأداة للعلم ولا تطلب منك التحميل المسبق. وتُقرأ Cache-Control وفق MDN: max-age وs-maxage وno-cache وno-store وprivate وpublic وimmutable. ويُفحص Set-Cookie من جهة Secure وHttpOnly وSameSite، ويُنبَّه إلى SameSite=None دون Secure كما يصف MDN. ويُحلَّل X-Robots-Tag بقواعد مواصفة وسم robots وX-Robots-Tag في Google Search Central، بما فيها بادئة وكيل المستخدم الاختيارية وتواريخ unavailable_after.

حدود الأداة: تقرأ الأداة النص الذي تلصقه، فلا تعرف هل الترويسة مناسبة لموقعك، وقد تضيف طبقة أخرى مثل شبكة توصيل المحتوى أو مسار مختلف ترويسةً ناقصة هنا. والترويسة الناقصة دعوة إلى المراجعة وليست دليلاً على ثغرة.