فاحص ترويسات HTTP
الأمان والضغط والتخزين المؤقت
يقرأ فاحص ترويسات HTTP هذا استجابة أي صفحة ويقيّمها دفعة واحدة: ترويسات الأمان الثماني، والضغط، والتخزين المؤقت، وما يكشفه الخادم. ثم يكتب الأسطر التي تسد كل ثغرة، لـ Apache أو Nginx أو ملف ترويسات.
- مجانيالسعر
- 23الفحوص
- مُضمَّنالإصلاح
- لا شيءالمحفوظ
فاحص ترويسات HTTP
ثماني ترويسات أمان، والضغط، والتخزين المؤقت، تُقيَّم دفعة واحدة
- النتيجة
- —
- ناجحة
- 0
- التحذيرات
- 0
- إخفاقات
- 0
- أول بايت
- —
| الترويسة | القيمة | الحكم | ماذا تعني |
|---|---|---|---|
| الصق عنوانًا في الأعلى وستظهر الاستجابة هنا. | |||
النتيجة ترجيحنا الخاص للصفوف أعلاه، وليست درجة معتمدة في المجال. HTTPS والسياسة والضغط لها الوزن الأكبر، وما عُلِّم كمعلومة لا وزن له.
أسطر جاهزة لكل ترويسة أعلاه فشلت أو أعطت تحذيرًا. اختر خادمك، والصق الأسطر، ثم أعد الفحص.
جاهز. الصق أي عنوان عام وسيفتح هذا الخادم اتصالين به.
ما الذي تقرره ترويسات الاستجابة
كل صفحة تصل مع بضعة أسطر لا يراها الزائر أبدًا. هذه الأسطر هي ترويسات الاستجابة.
فهي تخبر المتصفح كيف يعامل الصفحة: أي السكربتات يُسمح بتشغيلها، وهل يمكن وضعها داخل إطار، وكم يمكن الاحتفاظ بها، وهل وصلت مضغوطة.
لذلك قد تختلف صفحتان بالمحتوى نفسه اختلافًا كبيرًا في السرعة والأمان. والفرق كله يكمن في الترويسات.
يقرؤها هذا الفاحص من عنوان حي، ويقيّم كل واحدة، ثم يعطيك الإعدادات التي تصلح الضعيف منها.
ترويسات الأمان الثماني
تُبقي Strict-Transport-Security المتصفحات على HTTPS. وتقرر Content-Security-Policy أي السكربتات يمكن تشغيلها، وهي الدفاع الأساسي ضد الشيفرة المحقونة.
تُلزم X-Content-Type-Options المتصفح باحترام نوع الملف المعلن دون تخمين. أما حماية الإطارات، عبر X-Frame-Options أو frame-ancestors، فتمنع المواقع الأخرى من وضع موقعك داخل إطار لسرقة النقرات.
تحدّ Referrer-Policy مما يكشفه عنوانك للمواقع الأخرى. كما تطفئ Permissions-Policy الكاميرا والميكروفون والموقع ما لم تطلبها الصفحة.
أخيرًا، تمنع سياستا cross-origin النوافذ والمواقع الأخرى من الوصول إلى الصفحة. ومعًا تغلق هذه الثماني معظم الأبواب التي يجرّبها المهاجم أولًا.
لماذا يُفحص الضغط على حدة
لا يضغط الخادم إلا إذا طلب المتصفح ذلك. لذلك تفتح هذه الأداة اتصالًا ثانيًا يعرض gzip وbrotli، ثم تنقل ما يعود.
يقلّص الضغط صفحة HTML عادةً بنحو سبعين في المئة. لذلك فهو من أرخص مكاسب السرعة، ومن أكثرها غيابًا أيضًا.
تُفحص ترويسة Vary معه، لأن الصفحة المضغوطة بلا Vary: Accept-Encoding قد يقدّمها تخزين مؤقت مشترك للمتصفح الخطأ.
التخزين المؤقت بكلمات بسيطة
تقول Cache-Control كم يمكن إعادة استخدام النسخة. ومن دونها يخترع كل متصفح وكل وكيل قاعدته الخاصة، ونادرًا ما تتفق.
تتيح ETag وLast-Modified للمتصفح العائد أن يسأل هل ما زالت نسخته حديثة. وبذلك يحصل على رد صغير "لم يتغيّر" بدل الصفحة كاملة مرة أخرى.
ما يكشفه الخادم
كثيرًا ما تذكر ترويستا Server وX-Powered-By البرنامج والإصدار بدقة. هذا لا يفيد أي زائر، لكنه يوفّر على المهاجم خطوة.
تُفحص ملفات تعريف الارتباط أيضًا. يجب أن يحمل كل منها Secure وHttpOnly وSameSite، وإلا فقد ينتقل بلا تشفير أو يقرؤه سكربت.
كيف يُكتب الإصلاح
لكل صف فاشل يمكن لسطر إعدادات إصلاحه، تكتب الأداة ذلك السطر. تختار Apache أو Nginx أو ملف _headers، ثم تتغيّر الكتلة لتناسبه.
يُكتب سطر Content-Security-Policy بوضع Report-Only عن قصد. فالسياسة العامة المفعّلة دفعة واحدة قد تحظر سكربتات الموقع نفسه، بينما يُظهر وضع التقرير أولًا ما الذي سينكسر.
بعض الأمور ليست مشكلات ترويسات، مثل بطء أول بايت. لذلك تُسرد لكنها تبقى خارج الكتلة، كي لا يدّعي شيء فيها إصلاح ما لا يستطيع إصلاحه.
عن النتيجة
النتيجة ترجيحنا الخاص وليست معيارًا في المجال. يحمل HTTPS وسياسة المحتوى والضغط الوزن الأكبر، بينما لا وزن للصفوف المعلوماتية.
طريقة استخدام فاحص ترويسات HTTP
عنوان واحد يدخل، واستجابة مقيّمة وإصلاح جاهز يخرجان.
- 1
الصق عنوان الصفحة
أي صفحة عامة تصلح، وتُتتبَّع عمليات إعادة التوجيه حتى الاستجابة النهائية.
- 2
اقرأ النتيجة والقائمة
تأتي الإخفاقات أولًا داخل كل مجموعة. وكل صف يقول ما وجده ولماذا يهم.
- 3
اختر خادمك
اختر Apache أو Nginx أو ملف _headers، ثم تُعاد كتابة كتلة الإصلاح لذلك الخادم.
- 4
الصق، ثم أعد التحميل، ثم افحص مجددًا
أضف الأسطر، وأعد تحميل الخادم، ثم أعد الفحص لترى الصفوف تتحول إلى الأخضر.
ما الذي يميّز فاحص الترويسات هذا
معظم أدوات الترويسات تطبع القائمة الخام وتتوقف. أما هذه فتشرحها وتصلحها.
الأمان والسرعة والتخزين معًا
ثلاثة وعشرون فحصًا في خمس مجموعات، بدل ثلاث أدوات منفصلة ترى كل منها جزءًا فقط.
الإصلاح مكتوب لك
أسطر جاهزة لـ Apache أو Nginx أو ملف _headers، للصفوف التي تحتاج إليها فقط.
ضغط مختبَر فعلًا
يطلب اتصال ثانٍ gzip وbrotli، لذلك تعكس الإجابة ما يتلقاه متصفح حقيقي.
إعدادات افتراضية آمنة
تصل سياسة المحتوى أولًا بوضع التقرير، لذلك لا يمكن أن يعطّل تجريب الإصلاح الموقع.
الترويسات الخام بلمسة واحدة
للقائمة غير المعدّلة تبويب خاص بها لمن يريد قراءة كل سطر.
لا شيء يُحفظ
يُستخدم العنوان لفحص واحد ثم يختفي. كما أن هذا الخادم لا يكتب عنه أي سجل.
قواعد ضبط ترويسات الاستجابة
ثماني عادات تُبقي الترويسات سليمة بعد الإصلاح الأول.
- أصلح HTTPS قبل أي شيء. كل ترويسة أمان تفترض اتصالًا مشفّرًا. وعبر HTTP غير المشفّر لا يفعل معظمها شيئًا.
- طبّق سياسة المحتوى تدريجيًا. ابدأ بوضع التقرير، واقرأ ما كانت ستحظره، ثم فعّلها عندما تهدأ التقارير.
- ارفع HSTS على مراحل. ابدأ بقيمة max-age قصيرة، وتأكد أن كل نطاق فرعي يقدّم HTTPS، ثم انتقل إلى سنة كاملة.
- اضغط النصوص لا الصور. تتقلص ملفات HTML وCSS وJavaScript وSVG كثيرًا. أما JPEG وWebP فمضغوطة أصلًا، لذلك لا يكسب gzip شيئًا هناك.
- قل شيئًا عن التخزين المؤقت. حتى no-store أفضل من الصمت، لأن الصمت يترك كل تخزين مؤقت يخمّن بطريقة مختلفة.
- أخفِ أرقام الإصدارات. أوقف server tokens وX-Powered-By. فهي لا تفيد إلا المهاجمين.
- اضبط كل ملف تعريف ارتباط. Secure وHttpOnly وSameSite على كل واحد، بما فيها ملفات تعريف الارتباط التي تضعها الإضافات.
- أعد الفحص بعد كل نشر. قد يُسقط خادم جديد أو CDN أو إضافة ترويسات بصمت، لذلك أعد الفحص كلما تغيّر النظام.
ستة أخطاء في الترويسات تبقى مخفية
لا يظهر أي منها في الصفحة، ولهذا بالضبط تستمر لسنوات.
سياسة تحتوي unsafe-inline
تبدو كسياسة محتوى، لكنها تسمح بتشغيل السكربت المحقون. استخدم nonce أو hash بدلًا منها.
HSTS عبر HTTP غير المشفّر
تتجاهلها المتصفحات هناك. فهي لا تُحتسب إلا عندما تصل في استجابة HTTPS.
ترويسات في الصفحة الرئيسية فقط
ترويسات الأمان المضبوطة في قالب واحد تغيب عن بقية الصفحات. لذلك اضبطها على مستوى الخادم.
ضغط أوقفه وكيل
قد تلغي شبكة CDN أو جدار حماية أمام الموقع ما ضبطه الخادم الأصلي. لذلك افحص العنوان الذي يستخدمه الزوار.
ترويسات مكررة
قيمتان مختلفتان للترويسة نفسها، واحدة من التطبيق وأخرى من الخادم، تتركان الاختيار للمتصفح.
Feature-Policy بدل Permissions-Policy
سُحب الاسم القديم منذ سنوات. والمتصفحات الحالية لا تقرأ إلا الجديد.
استفساراتكم حول ترويسات HTTP
ما ترويسات HTTP؟
هي أسطر قصيرة تُرسل مع كل استجابة قبل الصفحة نفسها. وهي تخبر المتصفح كيف يتعامل مع ما يليها.
ما ترويسات الأمان التي يجب أن يرسلها كل موقع؟
على الأقل Strict-Transport-Security وContent-Security-Policy وX-Content-Type-Options وحماية الإطارات وReferrer-Policy وPermissions-Policy. كما تضيف سياستا cross-origin حماية إضافية.
هل تؤثر ترويسات الأمان في تحسين محركات البحث؟
ليس مباشرة. لكن HTTPS إشارة ترتيب، والضغط والتخزين المؤقت يجعلان الصفحات أسرع، وهذا يُحتسب فعلًا.
أين ألصق الإصلاح؟
في Apache داخل ملف .htaccess مع تفعيل mod_headers. وفي Nginx داخل كتلة server. أما في Netlify أو Cloudflare Pages ففي ملف _headers في جذر الموقع.
هل ستعطّل سياسة المحتوى موقعي؟
ليس ما كُتب هنا، لأنه Report-Only. فهو لا يحظر شيئًا، بل يسرد ما كانت السياسة المفعّلة ستوقفه.
لماذا تختلف نتيجتي عن أدوات أخرى؟
كل أداة ترجّح الصفوف بطريقتها. كما أن هذه الأداة تحتسب الضغط والتخزين المؤقت، اللذين تتجاهلهما أدوات الأمان البحتة.
أستخدم WordPress. من أين تأتي الترويسات؟
غالبًا من الخادم أو من إضافة. لذلك تعمل أسطر .htaccess على معظم استضافات WordPress التي تشغّل Apache.
لماذا لم يُقَس الضغط؟
لم يكتمل الاتصال الثاني الذي يطلب gzip. لذلك يبقى الصف بلا حكم بدل أن يُخمَّن.
ما الفرق بينه وبين فاحص رموز الحالة؟
يعرض فاحص رموز الحالة ما يجيب به العنوان وإلى أين يعيد التوجيه. أما هذا فيقيّم ترويسات تلك الاستجابة ويكتب الإصلاح.
هل يُحفظ العنوان الذي أفحصه؟
لا. يُستخدم لفحص واحد ثم يختفي، ولا يُسجَّل عنه أي شيء.
أدوات لفحص الخادم
الترويسات طبقة واحدة من الاستجابة. وهذه الثلاث تفحص البقية.
فاحص رموز حالة HTTP
الحالة التي يعيدها العنوان، وكل قفزة في الطريق.
افتح الأداة ←فاحص SSL
انتهاء الشهادة، والأسماء المشمولة، وهل تثق بها المتصفحات.
افتح الأداة ←فاحص سلاسل إعادة التوجيه
كل قفزة بين العنوان المكتوب والصفحة النهائية.
افتح الأداة ←
هل أنت مستعد لفحص ترويساتك؟
الصق عنوانًا، واقرأ الدرجة، وانسخ الإصلاح لخادمك. فاحص ترويسات HTTP مجاني، ولا يحتاج إلى حساب، ولا يحتفظ بأي سجل للفحص.