التشفير والنقل
15 نقطة
بروتوكول HTTPS وتشفير TLS
التحقق من تفعيل التشفير الإلزامي وبروتوكولات TLS الحديثة ومنع الاتصالات غير المشفرة.
معيار أساسي لحماية سرية البيانات والاتصالات.
فحص الأمان والتحقق
فاحص الأمان
أداة فحص الأمان المتقدمة لمراجعة التهديدات، وتشفير النقل، ورؤوس الحماية في المواقع والتطبيقات.
ماذا تفحص هذه الأداة؟
أداة عامة ومفتوحة لتحليل جاهزية وحصانة أي موقع ويب ضد التهديدات الشائعة وفق 8 معايير أمنية رئيسية:
التشفير والنقل
15 نقطة
أمان النقل الصارم (HSTS)
التأكد من وجود رأس HSTS بمدة كافية لحماية المتصفح من هجمات التراجع (SSL Stripping).
يوصى بمدة لا تقل عن 6 أشهر مع وسوم الحماية الفرعية.
سياسة أمان المحتوى
20 نقطة
سياسة CSP الصارمة
فحص تقييد مصادر السكربتات والوسائط لمنع هجمات حقن النصوص البرمجية (XSS).
أقوى خط دفاع للمتصفح ضد هجمات الحقن الخارجية.
حماية التأطير
10 نقاط
مكافحة النقر الخبيث (Clickjacking)
مراجعة X-Frame-Options وتوجيهات frame-ancestors لمنع تضمين الموقع في إطارات خفية.
حماية صفحات تسجيل الدخول والمعاملات من الخداع.
أمان أنواع MIME
10 نقاط
حظر استنتاج MIME (nosniff)
التأكد من وجود X-Content-Type-Options لمنع المتصفح من تفسير الملفات بطريقة خاطئة.
يمنع هجمات التحميل والتنفيذ غير المصرح بها.
الخصوصية والإحالة
10 نقاط
سياسة الإحالة (Referrer-Policy)
مراجعة سياسة الإحالة لمنع تسريب الروابط الحساسة ومعلمات البحث لمواقع الطرف الثالث.
حماية خصوصية تنقل المستخدمين عبر الويب.
الخصوصية والإحالة
10 نقاط
أذونات العتاد (Permissions-Policy)
فحص تقييد الوصول إلى الكاميرا والميكروفون والموقع الجغرافي للمتصفح.
يمنع إساءة استخدام ميزات الأجهزة والعتاد.
إخفاء المعلومات
10 نقاط
حجب بصمات الخادم والتقنيات
فحص إخفاء رأس Server ورأس X-Powered-By لمنع استطلاع إصدارات البرمجيات.
يصعب عمليات الاستطلاع الآلي على المهاجمين.
أفضل ممارسات أمان المواقع وحماية الويب
يتطلب أمان الويب الحديث استراتيجية دفاع متعددة الطبقات لتأمين النقل والبيانات وحماية المتصفح:
1. تشفير النقل وسياسة HSTS
فرض تشفير HTTPS الشامل مع max-age لسنة كاملة وتفعيل Preload لمنع هجمات التراجع وتجريد التشفير.
2. سياسة أمان المحتوى الصارمة
تطبيق سياسة CSP مقيدة مع قيم Nonce أو قوائم موثوقة لتحييد ثغرات XSS وحظر تحميل السكربتات المجهولة.
3. حماية التأطير ومكافحة الخداع
استخدام X-Frame-Options: DENY وتوجيهات frame-ancestors لحظر التضمين في إطارات مخفية ومنع هجمات النقر.
4. تحصين ملفات الارتباط ورؤوس الاستجابة
تعيين سمات HttpOnly وSecure وSameSite على ملفات الارتباط مع رؤوس nosniff وسياسات الإحالة المقيدة.