📑 فاحص ترويسات HTTP ☆

نظرة عامة

فاحص ترويسات HTTP يعرض بالضبط ما يعيده خادم الويب. أدخل أي رابط أو نطاق عام لتحصل على الصورة الكاملة: الحالة النهائية وكل خطوة في سلسلة إعادة التوجيه بحالتها وعنوان IP للخادم وبروتوكول HTTP المتفاوض عليه وقائمة الترويسات الكاملة, الخادم والتخزين المؤقت والضغط والكوكيز ونوع المحتوى والمزيد. يدقّق الفحص المدمج ثماني ترويسات أمان أساسية: HSTS وCSP وX-Frame-Options وX-Content-Type-Options وReferrer-Policy وPermissions-Policy وترويسات Cross-Origin مع نتيجة قابلة للتنفيذ. يُنسخ التقرير كاملاً بنقرة. العناوين الخاصة محظورة بالتصميم (مكافحة SSRF) والنتائج محدودة المعدل ومخزنة خمس دقائق.

كيف يعمل فحص الترويسات

يجري المدقق طلباً حقيقياً من خادم 0Appz، ويتابع سلسلة إعادة التوجيه خطوة بخطوة، ويسجل الحالة النهائية وعنوان الخادم والبروتوكول والترويسات المتفاوض عليها. ويقيّم تدقيق الأمان الترويسات التي تحصّن الموقع: HSTS وContent-Security-Policy وX-Frame-Options وX-Content-Type-Options وReferrer-Policy وPermissions-Policy وسياسَتَي Cross-Origin. تُبيَّن القيم الناقصة أو الضعيفة مع الإعداد المطلوب.

الإمكانات والقيود

الخاصية	السلوك
الإدخال	أي رابط أو نطاق عام
يبلّغ	الحالة النهائية والخطوات وعنوان الخادم والبروتوكول وكل الترويسات
تدقيق الأمان	ثماني ترويسات تحصين مع نتيجة وإرشاد
التصدير	نسخ التقرير كاملاً بنقرة
الأمان	العناوين الخاصة/الداخلية محظورة (مكافحة SSRF)
الحدود	محدود المعدل والنتائج مخزنة خمس دقائق
التكلفة	مجاناً وبدون حساب

الخصوصية: الطلبات تنطلق من خادمنا

يلزم طلب من الخادم لقراءة ترويسات يخفيها المتصفح عن جافاسكربت. يتصل 0Appz بالرابط الذي تدخله؛ ويرى الهدف خادمنا لا متصفحك ولا عنوانك.

قراءة نتيجة الأمان

• فعّل HSTS بـmax-age طويل حين يستقر HTTPS في كل الموقع.
• انشر CSP أولاً في وضع report-only.
• ‏X-Content-Type-Options: nosniff يمنع التباس MIME.
• سياسات Cross-Origin تهم عند تضمين موارد حساسة.
• أعد الفحص بعد النشر: قد يزيل CDN بعض الترويسات.

اقرأ أيضاً أدوات المطورين لـSSL وDNS والوسوم وwhois.

ترويسات الأمان الجديرة بالفحص

تخبر ترويسات استجابة HTTP المتصفح بكيفية معالجة الصفحة، وحفنة منها تحمل معظم ثقل الأمان. تفرض Strict-Transport-Security الطلبات المستقبلية عبر HTTPS وتمنع هجمات التخفيض؛ وبدونها يبقى أول زيارة عبر اتصال غير آمن ممكنة. ويعد Content-Security-Policy أقوى دفاع ضد هجمات البرمجة عبر المواقع لأنه يعلن أي سكربتات يُسمح بتشغيلها؛ وغياب السياسة شائع والسياسة المتسامحة مع unsafe-inline لا تحسن كثيراً. ويمنع X-Content-Type-Options بالقيمة nosniff المتصفح من إعادة تفسير الملف كنوع آخر. وتقي X-Frame-Options أو توجيه frame-ancestors من اختطاف النقر بالتحكم بمن يستطيع تضمين الصفحة. ويحد Referrer-Policy من تسرب معلومات الرابط إلى أطراف ثالثة، ويعطّل Permissions-Policy واجهات مثل الكاميرا والموقع الجغرافي التي لا يستخدمها الموقع. ويستحق Cache-Control انتباهاً: فالصفحة التي تحوي بيانات شخصية لا ينبغي أن تخزنها الوسائط المشتركة. وتحدد ترويسات CORS أي النطاقات تستطيع قراءة الاستجابات، ووجود علامة شاملة مع بيانات اعتماد إشارة خطر. وأخيراً تكشف Server وX-Powered-By إصدارات البرمجيات ويُستحسن إزالتهما أو تقليلهما. ويفيد فحص الموقع أيضاً في تشخيص فشل مورد مضمّن أو حلقة إعادة توجيه عند تسجيل الدخول. ويعمل الفحص من متصفحك ولا يخزّن شيئاً عن الروابط التي تختبرها.