01
Проверьте границы пресета
Обычный пресет ставит self для трёх функций браузера; приватный меняет их на none. Отдельные значения HSTS и CORS сохраняются.
- Пресет не является оценкой безопасности.
Веб-безопасность
Генератор заголовков безопасностипонятный черновик политики
Выберите исходную политику, проверьте каждую строку и предупреждения перед настройкой сервера.
Генератор заголовков безопасности
Пресет: Обычный черновик
Referrer-Policy: Строго для других origin
Permissions-Policy: Камера · Свой origin (self) / Микрофон · Свой origin (self) / Геолокация · Свой origin (self)
HSTS: Не выводить
Пример CORS: Не выводить
Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)
Все параметры обрабатываются в браузере; запрос к вашему сайту не отправляется.
Параметры
Permissions-Policy
HSTS
HSTS работает только в HTTPS-ответе. Сначала проверьте короткий срок; preload требует год и готовность поддоменов.
Пример CORS
Введите * или один точный http(s) origin без пути. Учётные данные несовместимы с *.
Описание заголовков
Referrer-Policy: strict-origin-when-cross-originЗначение определяет объём Referer, который отправляет браузер.
Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)Пустой список запрещает функцию; self разрешает тот же origin.
Предупреждения
Для этого черновика нет предупреждений.
Готово заголовков: 2 · предупреждений: 0
Скопированный набор HTTP-заголовков безопасности может включить HSTS для неготовых поддоменов. Генератор заголовков безопасности показывает каждое решение отдельно, чтобы это было заметно.
Результат является черновиком ответа. Инструмент не запрашивает ваш сайт, не проверяет сертификат и не выставляет оценку действующей конфигурации. Это настройка HSTS и заголовки CORS только как примеры.
Зачем нужен Генератор заголовков безопасности
Опасные параметры выключены, а смысл каждой строки виден до копирования.
Каждая политика отдельно
Генератор заголовков безопасности разделяет настройки Referrer-Policy и Permissions-Policy. Приватный пресет не включает HSTS или CORS без отдельного выбора.
Осторожное начало для HSTS
В поле max-age стоит 300 секунд, но сам HSTS отключён. Для CORS пример требует конкретный origin при передаче учётных данных.
Три проверки перед переносом на сервер
02
Включайте HSTS постепенно
Он выключен по умолчанию, пробный срок — 300 секунд. Для preload нужен минимум год и includeSubDomains, а регистрация в списке выполняется отдельно.
- CORS с учётными данными несовместим с origin *.
03
Берите только свежий вывод
Автоматический режим ждёт 350 мс после правки. В ручном режиме работает Ctrl/Cmd+Enter; старый результат нельзя скопировать.
- Пример и очистка показывают предварительный просмотр и допускают одну отмену.
Четыре группы заголовков ответа
Управление Referer
Четыре значения Referrer-Policy определяют, какую часть адреса браузер передаст следующему сайту.
Разрешения браузера
Камеру, микрофон и геолокацию можно отдельно ограничить значением self или none.
HSTS и CORS по желанию
Срок принудительного HTTPS и пример origin попадают в ответ только после включения.
Границы локального черновика
- Нет универсальной настройки
- Генератор заголовков безопасности не знает ваши скрипты, сертификаты и поддомены, поэтому не создаёт CSP и не обещает высокий балл.
- HSTS остаётся в браузере
- После корректного HTTPS-ответа политика запоминается; includeSubDomains может заблокировать неподготовленные узлы.
- CORS не заменяет проверку доступа
- Пример origin управляет чтением ответа браузером, а не авторизацией на сервере или защитой от CSRF.
Вопросы про Генератор заголовков безопасности
HSTS заменяет перенаправления HTTP→HTTPS?
Нет. Перенаправление меняет текущий HTTP-запрос, а HSTS после корректного HTTPS-ответа влияет на следующие подключения браузера.
Что такое HSTS?
HSTS — это заголовок ответа Strict-Transport-Security: он сообщает браузеру использовать HTTPS для будущих посещений в течение заданного срока.
Как исправить оценку F после проверки заголовков безопасности?
Этот генератор не проверяет сайт и не присваивает баллы. После публикации проверьте фактические ответы отдельным средством и исправляйте конкретные отсутствующие политики.
Почему Referrer String иногда пустой?
Значение Referer может быть пустым из-за выбранной Referrer-Policy или контекста перехода. Сравните поведение на своём сайте с выбранной политикой.
Может ли проверка заголовков раскрыть конфиденциальную информацию?
Здесь нет сетевой проверки: доменное имя не запрашивается, настройки остаются в браузере. Не публикуйте чувствительные данные в общедоступных конфигурациях.
Нашли проблему?
Откройте Генератор заголовков безопасности
Изменяйте политику по пунктам и копируйте только проверенный актуальный вывод.