HTTP Güvenlik Başlıkları ve Cookie Analizi

Bir sitenin HTTP yanıt başlıklarını yapıştırın; Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy ve Set-Cookie özniteliklerini değerlendirip eksikleri nedenleriyle gösterir.

Tamamen tarayıcınızda çalışır; girdiğiniz veriler hiçbir sunucuya gönderilmez.

Başlıkları almak için: curl -sI https://ornek.com ya da tarayıcı geliştirici araçlarında Network sekmesi → istek → Response Headers.

Hangi başlıklar kontrol ediliyor?

  • Content-Security-Policy: XSS'e karşı en güçlü tarayıcı katmanı. 'unsafe-inline', 'unsafe-eval', joker karakterli kaynaklar ve eksik object-src/base-uri işaretlenir.
  • Strict-Transport-Security: Tarayıcıyı HTTPS kullanmaya zorlar; max-age en az 6 ay olmalıdır.
  • X-Frame-Options / frame-ancestors: Clickjacking'e karşı sayfanın başka sitelerde çerçeve içinde açılmasını engeller.
  • X-Content-Type-Options, Referrer-Policy, Permissions-Policy: MIME sniffing, adres sızıntısı ve tarayıcı özelliklerine erişim kontrolü.
  • Bilgi sızıntısı: Server ve X-Powered-By gibi başlıklarda sürüm bilgisi.
  • CORS: Access-Control-Allow-Origin ile kimlik bilgisi paylaşımının hatalı birleşimleri.
  • Set-Cookie: Secure, HttpOnly, SameSite ve __Host-/__Secure- önek kuralları.