هدرهای امنیتی چه کار می‌کنند؟
هدرهای امنیتی دستورالعمل‌هایی هستند که سرور به مرورگر می‌دهد تا حملات رایج وب — از تزریق اسکریپت تا کلیک‌جکینگ و شنود ارتباط — سخت یا ناممکن شود. فعال‌کردن آن‌ها معمولاً فقط چند خط در تنظیمات وب‌سرور است:
مرورگر را مجبور می‌کند همه‌ی ارتباط‌ها با پروتکل امن باشد و حمله‌ی پایین‌آوردن به HTTP را می‌بندد.
فهرست سفید منابع اسکریپت و استایل است؛ مهم‌ترین سد در برابر حملات XSS.
با مقدار nosniff مرورگر نمی‌تواند نوع فایل را حدس بزند؛ جلوی اجرای فایل‌های مخرب را می‌گیرد.
اجازه‌ی نمایش سایت داخل iframe را می‌بندد تا کاربر فریب کلیک‌های نامرئی نخورد.
مشخص می‌کند آدرس صفحه‌ی قبلی چقدر به سایت‌های دیگر لو برود.
دسترسی مرورگر به دوربین، میکروفون و موقعیت را برای سایت‌های دیگر محدود می‌کند.
با مقدار same-origin ارتباط پنجره‌ی سایت با پنجره‌های سایت‌های دیگر قطع می‌شود.
کوکی امن باید Secure و HttpOnly باشد و SameSite داشته باشد؛ این ابزار نبود آن‌ها را گزارش می‌کند.
نکته: امتیاز ۱۰۰ ضروری نیست؛ اولویت با HSTS و X-Content-Type-Options و Referrer-Policy است. اگر سایت پشت CDN است، بعضی هدرها را باید در پنل همان سرویس تنظیم کنید.