Startsidan skickar färre än fyra av de sex vanliga säkerhetshuvudena som hjälper till att skydda besökare mot avlyssnade anslutningar, clickjacking och injicerade skript. De flesta kräver bara en rad konfiguration.
Vad det betyder
Säkerhetshuvuden är instruktioner som servern skickar med varje sida och som talar om för webbläsaren vad som är tillåtet. De åtgärdar inte svagheter i själva webbplatsen, men de gör många vanliga attacker mycket svårare.
De sex som betygsätts är Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (eller CSP frame-ancestors), Referrer-Policy och Permissions-Policy.
Vad som utlöser det
En gång i veckan laddar kontrollen Säkerhetshuvuden startsidan via HTTPS och räknar hur många av de sex huvudena den skickar: alla sex ger A, fem B, fyra C, tre D, två E och färre F. Vid D eller lägre flaggas detta problem med medelhög allvarlighetsgrad, med betyget i titeln och en lista över de saknade huvudena. Det visas i appen och skickas inte via e-post.
Ett saknat HSTS-huvud rapporteras också separat. Se Inget HSTS-huvud.
Vanliga orsaker
- De flesta webbservrar och webbhotellsabonnemang skickar inget av dessa huvuden som standard.
- Huvudena är inställda för vissa mappar eller servrar men inte för startsidan.
Så åtgärdar du det
- Lägg till de enkla först, som sällan förstör något: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin och en Permissions-Policy som camera=(), microphone=(), geolocation=().
- Ställ in dem i din webbserver, ditt CDN, webbhotellets kontrollpanel eller ett säkerhetstillägg för ditt CMS.
- Lägg till Content-Security-Policy sist, efter att ha testat den med Content-Security-Policy-Report-Only, eftersom en strikt policy kan blockera dina egna skript, typsnitt eller spårning.
När det försvinner
Problemet försvinner vid nästa veckokontroll som hittar minst fyra av de sex huvudena (betyg C eller bättre), och dess åtgärd försvinner från åtgärdsplanen 7 dagar senare.
Om du markerar åtgärden som klar och problemet fortfarande hittas 14 dagar senare kommer den tillbaka som ”Åtgärden fungerade inte”. Se Använda åtgärdsplanen.