Skip to main contentSkip to navigation

محلل ترويسات الأمان

تحليل ترويسات HTTP الأمنية مثل CSP وHSTS وتقديم نصائح

HTTP Response Headers

Paste raw response headers (from your server, curl -I, or browser devtools).

Analysis

HSTS
Header not present
Forces HTTPS and protects against protocol downgrade attacks.
CSP
Header not present
Mitigates XSS by whitelisting sources.
X-Frame-Options
Header not present
Prevents clickjacking in iframes.
X-Content-Type-Options
Header not present
Prevents MIME sniffing.
Referrer-Policy
Header not present
Controls referer leakage.
Permissions-Policy
Header not present
Restricts powerful browser features.
COOP
Header not present
Isolates browsing context for security.
COEP
Header not present
Required for certain isolation models.
CORP
Header not present
Restricts cross-origin resource loading.

محلل ترويسات الأمان - فحص ترويسات HTTP

تُعدّ ترويسات الأمان في HTTP خط الدفاع الأول ضد ثغرات الويب، إذ تُوجّه المتصفّحات لفرض سياسات تحمي من XSS وclickjacking وهجمات MITM وتسريب البيانات. يقيّم هذا المحلّل ترويسات الاستجابة لموقعك وفق أفضل الممارسات، ويكشف الحمايات المفقودة، ويقدّم توصيات عملية لتقوية التطبيق. الإعداد السديد للترويسات ضروري للامتثال والثقة والدفاع أمام تهديدات متطوّرة.

ترويسات أساسية وآليات الحماية

تحدّ CSP من XSS عبر ضبط مصادر التحميل وتشغيل السكربتات المضمّنة. تفرض HSTS اتصالات HTTPS وتمنع هجمات الإنزال. تمنع X‑Frame‑Options وframe‑ancestors النقر‑الخاطف بتنظيم تضمين iframes. تمنع X‑Content‑Type‑Options شمّ MIME. تضبط Referrer‑Policy تسرّب المعلومات. تقيد Permissions‑Policy الوصول إلى واجهات المتصفح كالكاميرا والميكروفون والموقع. معاً، تُحقق دفاعاً متعدّد الطبقات.

سياسة أمن المحتوى: ضبط متقدّم وممارسات مثلى

تتطلّب CSP توازناً دقيقاً بين الأمان والوظيفة. ابدأ بسياسة مقيّدة (مثلاً default‑src 'self'; img‑src 'self' data:; style‑src 'self' 'unsafe‑inline'; script‑src 'self') ثم خفّف تدريجياً. استخدم nonces أو hashes بدل 'unsafe‑inline'. نفّذها على مراحل: وضع التقارير أولاً، أصلح التوافق، ثم طبّق. راقب التقارير لاكتشاف الهجمات وسوء الضبط. للتطبيقات المعقّدة، فكّر في سياسات متعدّدة أو strict‑dynamic.

تنفيذ HSTS واعتبارات النطاقات الفرعية

تمنع HSTS إنزال SSL بإجبار HTTPS في الاتصالات اللاحقة. ابدأ بقيمة max‑age قصيرة للاختبار ثم ارفعها للإنتاج. يُؤمّن includeSubDomains جميع النطاقات الفرعية—لكن تحقّق أولاً من دعمها HTTPS. فكّر بـ preload للحماية منذ الزيارة الأولى. HSTS "لاصقة": يتذكّرها المتصفح حتى بعد إزالة الترويسة؛ اختبر جيداً قبل النشر.

أخطاء شائعة وكيفية معالجتها

سياسات CSP المتساهلة جداً (script‑src '*' أو 'unsafe‑eval') تُبطل الحماية. غياب HSTS في تسجيل الدخول يعرّض للإنزال. ضبط X‑Frame‑Options الخاطئ قد يعطّل iframes شرعية أو يفشل في منع النقر‑الخاطف. الترويسات المتضاربة (X‑Frame‑Options مقابل frame‑ancestors) تُحدث سلوكاً غير متوقّع. اختبر عبر متصفّحات وتدفقات مختلفة؛ استخدم أدوات المطوّر لرصد مخالفات CSP، والتحقّق من فاعلية HSTS ووجود الترويسات في الصفحات الحسّاسة.

ترويسات الأمان لنقاط API وتطبيقات الصفحة الواحدة

تحتاج واجهات API إلى ضبط مختلف عن الصفحات التقليدية. تضبط CORS الوصول عبر الأصول، فيما قد تقل أهمية CSP لنقاط JSON. تتطلّب تطبيقات الصفحة الواحدة CSP دقيقة لتسمح بالتحميل الديناميكي وتمنع XSS. انظر في COEP/COOP لعزل أقوى. ينبغي لبوابات الواجهة وشبكات التوصيل الحفاظ على الترويسات من الخادم المصدر. طبّق الترويسات بشكل متّسق عبر البيئات (تطوير/تهيئة/إنتاج) لاكتشاف مشاكل الضبط مبكراً.

المراقبة والامتثال والإدارة على نطاق واسع

راقِب الترويسات بأدوات مثل Security Headers وMozilla Observatory أو بفحوص آلية ضمن CI/CD. سجّل مخالفات CSP وتقارير HSTS لاكتشاف الهجمات وسوء الضبط. في الأنظمة الكبيرة، استخدم إدارة الإعداد لضمان نشر متّسق على الخوادم، وتعامل مع السياسات ككود تحت نظام تحكم بالإصدارات. نفّذ مراجعات دورية للتحقق من الفاعلية ومتابعة المعايير الجديدة. كثيراً ما تتطلّب أطر الامتثال (مثل SOC 2 وPCI DSS) هذه الترويسات ضمن الضوابط.

Further reading

Security headers provide essential protection against web vulnerabilities with minimal performance impact. Implement progressively, monitor violations, test thoroughly across browsers and user flows, and maintain policies as your application evolves. Regular security header audits should be part of your security maintenance routine.