Softonic

安全响应头分析器

步 1 / 3
下一步

粘贴任意网站的原始 HTTP 响应头，本分析器会指出缺失或薄弱之处。它检查真正能加固站点的响应头（Content-Security-Policy、Strict-Transport-Security、X-Content-Type-Options、X-Frame-Options、Referrer-Policy 和 Permissions-Policy），并提醒像 Server 或 X-Powered-By 这类会泄露版本细节的响应头。每条发现都标记为高、中或低，让你清楚该先修复什么。

响应头审计如何运作

  1. 1

    获取你的响应头

    运行 `curl -I https://example.com`，或从浏览器开发者工具的“网络”标签复制响应头。

  2. 2

    粘贴进来

    把响应头块放进输入框，每行一对 `名称: 值`。

  3. 3

    查看按优先级排列的发现

    每个响应头都会被检查，任何缺口都标记为高、中或低，并给出应添加的确切指令。

  4. 4

    加固后再次检查

    把缺失的响应头加入服务器配置，重新加载，然后粘贴新的响应以确认缺口已补上。

影响成效的响应头

响应头 阻止的内容 最低推荐值
Content-Security-Policy XSS、点击劫持、混合内容 default-src 'self'; object-src 'none'; frame-ancestors 'none'
Strict-Transport-Security SSL 剥离、HTTP 下的 Cookie 泄露 max-age=31536000; includeSubDomains; preload
X-Frame-Options 旧版浏览器中的点击劫持 DENY（或依赖 CSP frame-ancestors）
X-Content-Type-Options 对上传文件的 MIME 嗅探 nosniff
Referrer-Policy 向第三方泄露完整网址 strict-origin-when-cross-origin
Permissions-Policy 不可信嵌入中的相机/麦克风/地理位置 camera=(), microphone=(), geolocation=()

本分析器会标记什么

粘贴你的响应头，它会逐项检查以下内容，并按优先级标记每个缺口：

  • 缺少 Strict-Transport-Security（高），或已设置但缺少 includeSubDomains（中），会使子域面临降级风险。
  • 缺少 Content-Security-Policy（高），或仍允许 'unsafe-inline' 的 CSP（中），会抵消它的大部分价值。
  • X-Content-Type-Options 未设为 nosniff（低），浏览器可能对响应进行 MIME 嗅探。
  • 缺少 X-Frame-Options（中），除非 CSP 的 frame-ancestors 指令已经在承担这项工作。
  • 缺少 Referrer-Policy 或 Permissions-Policy（低）：完整网址会泄露给第三方，强大的浏览器功能保持开放。
  • 存在 Server 或 X-Powered-By（低）：它们会暴露你的技术栈及版本，去掉它们可降低可识别度。

上线建议

先以仅报告模式部署 CSP（Content-Security-Policy-Report-Only），并接入一个报告端点。让它在真实流量下运行一周，再切换到强制执行：你会发现一些早已忘记的第三方脚本。

常见问题

粘贴完整的 HTTP 响应头，每行一对 名称: 值。最快的来源是 curl -I https://example.com，或浏览器“网络”标签中任意请求下的响应头部分。

不会。它只读取你粘贴的 HTTP 响应头。通过 <meta http-equiv> 标签提供的 CSP 只对该文档生效，且弱于真正的响应头，所以请发送响应头版本。

不值得。所有现代浏览器都已移除 XSS 审计器，因此这个响应头不提供保护，有时还会引入自身问题。用一份可靠的 Content-Security-Policy 取而代之。

像 Cloudflare 这样的 CDN 可能会删除或重写响应头（尤其是 Server，以及通过 Transform Rules 可选地处理 CSP）。用 curl -I 直接对公开网址与源站比较，即可看清边缘到底改了什么。

相关工具

Open Graph 检查器

粘贴页面 HTML，即可立即查看存在哪些 Open Graph 和 Twitter Card 标签、缺少哪些必需标签，以及每个标签的确切值。

Breadcrumb Schema 生成器

为任意页面层级生成有效的 BreadcrumbList JSON-LD。输出可直接粘贴到网站 head 中的 schema.org 标记。

可索引性检测器

检查一个 URL 是否可被索引：robots.txt、meta robots、X-Robots-Tag、canonical 信号以及 HTTP 状态码。

UTM 链接构建器

使用 UTM 的 source、medium、campaign、term 和 content 参数构建活动跟踪 URL。生成干净、经过 URL 编码的链接，可直接用于广告和电子邮件通讯。

结构化数据标记验证器

粘贴一段 JSON-LD，即刻检查它能否正确解析，并包含 Schema.org 的核心键：@context、@type 以及 name 或 headline，在发布之前完成检查。

从 URL 生成的 SERP 摘要预览

粘贴一个网址，查看它的标题、元描述和规范网址实时呈现为谷歌摘要的样子。直接从页面抓取，无需手动复制。

此工具还提供其他语言版本