首頁傳送的常見安全標頭少於六個中的四個。這些標頭有助於保護訪客免於連線遭攔截、點擊劫持和指令碼注入。大多數標頭只需要一行設定。
這代表什麼
安全標頭是伺服器隨每個網頁傳送的指示，告訴瀏覽器允許哪些行為。它們無法修補網站本身的弱點，但能讓許多常見的攻擊變得困難得多。
列入評分的六個標頭為 Strict-Transport-Security（HSTS）、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options（或 CSP frame-ancestors）、Referrer-Policy 和 Permissions-Policy。
觸發條件
「安全標頭」檢查每週會透過 HTTPS 載入一次首頁，計算它傳送了六個標頭中的幾個：六個全有為 A、五個為 B、四個為 C、三個為 D、兩個為 E，更少則為 F。評分為 D 或更低時，就會提出這個「中」問題，標題會顯示評分，並列出缺少的標頭。此問題只顯示在應用程式中，不會寄送電子郵件。
缺少 HSTS 標頭也會另外回報。請參閱 沒有 HSTS 標頭。
常見原因
- 大多數網頁伺服器和主機方案預設都不會傳送這些標頭。
- 標頭只為部分資料夾或伺服器設定，首頁卻沒有。
如何修正
- 先加入簡單的標頭，這些很少會造成問題：X-Content-Type-Options: nosniff、X-Frame-Options: SAMEORIGIN、Referrer-Policy: strict-origin-when-cross-origin，以及 Permissions-Policy，例如 camera=(), microphone=(), geolocation=()。
- 在你的網頁伺服器、CDN、主機控制台或 CMS 的安全性外掛中設定它們。
- 最後再加入 Content-Security-Policy，並先用 Content-Security-Policy-Report-Only 測試，因為嚴格的政策可能會封鎖你自己的指令碼、字型或追蹤。
何時解除
問題會在下一次每週檢查找到六個標頭中的至少四個（評分為 C 或更好）時消失，其行動則會在 7 天後從行動計畫中移除。
如果你將行動標記為完成，但 14 天後仍發現問題，它會以「修正未生效」重新出現。請參閱 使用行動計畫。