01
确认预设覆盖范围
基础预设给相机、麦克风和定位设置 self；隐私预设将三者改为 none，但不会改动独立的 HSTS 或 CORS 开关。
- 预设只是草稿起点，不代表安全评级。
Web 安全配置
HTTP 安全头生成器逐项核对响应策略
先选策略，再核对每条响应头及风险提示；结果只在本地生成。
HTTP 安全头生成器
策略预设: 基础草稿
Referrer-Policy: 严格来源并区分跨域
Permissions-Policy: 相机 · 仅本站 (self) / 麦克风 · 仅本站 (self) / 定位 · 仅本站 (self)
HSTS: 不生成
CORS 示例: 不生成
Referrer-Policy: strict-origin-when-cross-origin Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)
参数只在当前浏览器处理，不向目标站点发送请求。
选项
Permissions-Policy
HSTS
HSTS 仅在 HTTPS 响应中生效。先用较短期限试验；预载入还要求至少一年期限及所有子域支持 HTTPS。
CORS 示例
输入 * 或一个没有路径的完整 http(s) 来源；需要凭据时不能使用 *。这里只生成响应示例，不负责鉴权。
响应头解释
Referrer-Policy: strict-origin-when-cross-origin所选策略决定浏览器发送 Referer 时保留哪些地址信息。
Permissions-Policy: camera=(self), microphone=(self), geolocation=(self)空许可列表会禁用功能，self 仅允许同源。
风险提示
当前草稿暂无风险提示。
已生成 2 条响应头 · 0 条风险提示
为网站设置安全响应头时，现成片段常把权限、来源和跨域规则混在一起。HTTP 安全头生成器把这些选择拆开，让你看清每一行由哪个参数产生。
此处给出的是配置草稿，不会读取线上站点，也不会替你部署。启用 HSTS 前，仍需确认 HTTPS 和所有受影响的子域已经就绪。 权限策略也只覆盖相机、麦克风与定位。
为什么用 HTTP 安全头生成器
可见的策略差异，比一键套用所谓高分模板更便于审查。
逐条解释安全响应头
HTTP 安全头生成器分别展示 Referrer-Policy 和 Permissions-Policy 的结果；隐私预设只调整来源策略及三项权限，不会暗中开启 HSTS。
高风险配置默认关闭
HSTS 配置和 CORS 响应头需要单独开启。预载入条件与通配符凭据冲突会在导出前指出。
先看默认值，再检查部署边界
02
分开试验高影响设置
HSTS 的初始试验值为 300 秒。只有启用全部子域且期限不少于一年，才能输出 preload 标记。
- 凭据请求不能配合 * 通配来源。
03
核对当前结果后导出
自动生成会等待输入停止 350 毫秒；关闭后用 Ctrl/Cmd+Enter 执行。参数变化会立刻禁止复制旧结果。
- 示例和清空需先预览；应用后可撤销一次。
权限、来源、传输与跨域分别配置
引荐来源策略
从四个 Referrer-Policy 值中选择，避免把完整地址误发给不该看到路径的目标。
浏览器功能权限
相机、麦克风和定位分别选择 self 或 none；空许可列表也会阻止本站使用相应功能。
可选传输及跨域示例
仅在勾选后生成 HSTS 和 CORS；明确显示域名、期限与凭据组合。
草稿不能替代线上验证
- 没有万能安全配置
- HTTP 安全头生成器不知道站点脚本、证书及子域状态，也不会生成 CSP 或给出 A+ 评分。
- HSTS 会被浏览器记住
- 浏览器收到有效 HTTPS 响应后会记住期限；includeSubDomains 可能使尚未支持 HTTPS 的子域无法打开。
- CORS 不是鉴权
- 指定来源控制浏览器读取响应，不验证请求者身份，也不能代替服务端授权或 CSRF 防护。
HTTP 安全头生成器常见问题
什么是 HTTP 安全请求头？
安全请求头通常指请求里的安全相关字段；本页实际生成的是服务端返回的安全响应头，包括权限、来源与可选 HSTS、CORS。
如何在响应中启用 ACCESS-CONTROL-ALLOW-CREDENTIALS 标头？
在服务端返回精确 Access-Control-Allow-Origin 后，才能为需要凭据的跨域请求添加 Access-Control-Allow-Credentials: true；来源不能是 *。
HSTS 头如何防止中间人攻击？
HSTS 使已通过 HTTPS 收到策略的浏览器在之后优先使用 HTTPS，但它不修复证书或首次访问风险。
这个工具会上传我的配置吗？
不会。HTTP 安全头生成器只在浏览器内处理表单，不请求你的站点，也不上传配置。
支持导出哪些服务器环境的配置？
只导出原始响应头文本和 .txt 文件；Nginx、Apache、Express 的转义和继承规则需在各自环境中处理。
发现问题？