🔍 检查网站安全头
📖 什么是HTTP安全头
HTTP安全头是Web服务器在HTTP响应中发送的特殊头部字段，用于指示浏览器采取安全防护措施。正确配置安全头可以有效防止XSS攻击、点击劫持、数据泄露等常见Web安全威胁。
关键安全头说明
- Content-Security-Policy (CSP)：控制页面可加载的资源来源，防止XSS和数据注入攻击
- Strict-Transport-Security (HSTS)：强制浏览器使用HTTPS连接，防止降级攻击
- X-Frame-Options：防止页面被嵌入iframe，防止点击劫持
- X-Content-Type-Options：阻止浏览器MIME类型嗅探，防止内容类型混淆攻击
- Referrer-Policy：控制HTTP引用信息泄露，保护用户隐私
- Permissions-Policy：控制浏览器功能访问权限（摄像头、麦克风等）
- X-XSS-Protection：启用浏览器内置XSS过滤器（已废弃，推荐用CSP替代）
❓ 常见问题
什么是HTTP安全头？
HTTP安全头是服务器在HTTP响应中发送的特殊头部字段，用于指示浏览器采取安全措施。常见的安全头包括Content-Security-Policy、Strict-Transport-Security、X-Frame-Options等。
为什么需要配置安全头？
安全头可以防止XSS攻击、点击劫持、MIME类型嗅探、中间人攻击等常见Web安全威胁。缺少安全头会使网站容易受到攻击，也是OWASP Top 10中安全配置错误的一部分。
最重要的安全头有哪些？
最重要的安全头包括：1) Content-Security-Policy(CSP)防止XSS；2) Strict-Transport-Security(HSTS)强制HTTPS；3) X-Frame-Options防止点击劫持；4) X-Content-Type-Options防止MIME嗅探；5) Referrer-Policy控制引用信息。
如何配置HTTP安全头？
可以通过Web服务器配置（Nginx/Apache的配置文件）、应用中间件（Express的helmet模块）、或CDN设置（Cloudflare规则）来添加安全头。本工具提供各平台的配置代码。
数据安全吗？
完全安全。本工具在浏览器本地分析HTTP响应头，不发送任何数据到第三方服务器。输入的URL仅用于获取公开的HTTP响应头信息。