主页发送的常见安全标头不足六个中的四个，这些标头有助于保护访客免受连接被拦截、点击劫持和脚本注入的威胁。大多数只需一行配置即可添加。
含义
安全标头是服务器随每个页面发送的指令，告诉浏览器允许哪些行为。它们无法修复网站本身的弱点，但能让许多常见攻击变得困难得多。
参与评级的六个标头是 Strict-Transport-Security（HSTS）、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options（或 CSP frame-ancestors）、Referrer-Policy 和 Permissions-Policy。
触发条件
安全标头检查每周一次通过 HTTPS 加载主页，并统计它发送了六个标头中的几个：六个全有为 A，五个为 B，四个为 C，三个为 D，两个为 E，更少为 F。评级为 D 或更低时会触发此中优先级问题，标题中会显示评级并列出缺少的标头。它会显示在应用中，不会发送邮件。
缺少 HSTS 标头的问题也会单独报告。请参阅 没有 HSTS 标头。
常见原因
- 大多数 Web 服务器和主机套餐默认都不发送这些标头。
- 这些标头只为部分文件夹或服务器设置了，没有为主页设置。
如何修复
- 先添加那些简单且很少引起问题的标头：X-Content-Type-Options: nosniff、X-Frame-Options: SAMEORIGIN、Referrer-Policy: strict-origin-when-cross-origin，以及类似 camera=(), microphone=(), geolocation=() 的 Permissions-Policy。
- 在您的 Web 服务器、CDN、主机控制面板或 CMS 的安全插件中设置它们。
- 最后再添加 Content-Security-Policy，并先用 Content-Security-Policy-Report-Only 进行测试，因为严格的策略可能会阻止您自己的脚本、字体或跟踪代码。
何时消除
问题会在下一次发现至少六个标头中的四个（C 级或更好）的每周检查时消失，其行动项会在 7 天后从行动计划中移除。
如果您将该行动项标记为完成，但 14 天后仍发现该问题，它会以“修复未生效”状态重新出现。请参阅 使用行动计划。