HTTP päiste kontrollimine võrgus: millele teie server reageerib ja kuidas seda parandada

Lühike vastus: HTTP päiste kontrollimiseks veebis kleepige lehe aadress PromoPiloti HTTP päiste kontrollijasse ja klõpsake nuppu „Kontrolli“. Tööriist kuvab kõik serveri vastuse päised, turvaprotsendi hinnangu, vahemällu salvestamise, tihendamise ja CORS-i seaded, samuti ümbersuunamisahela lõplikule URL-ile. Registreerimine pole vajalik. Altpoolt leiate teavet selle kohta, millised päised on olulised, kuidas tulemusi lugeda ja mida kõigepealt parandada.

Kontrollin iga projekti päiseid enne selle esitamist: nii avastan pooled "salapärastest" probleemidest – saidi, mis ei vahemällu salvesta, kuvab lehti ilma tihendamiseta või on unustanud HTTPS-i turvaliseks muuta.

Mida HTTP päiste kontrollimine näitab?

Kui brauser või otsingumootori robot lehte taotleb, vastab server kõigepealt teenuseliinidega – päistega – ja alles seejärel tagastab HTML-i. Need päised kirjeldavad, kuidas lehte vahemällu salvestada, kas see on tihendatud, kas seda saab teisele veebisaidile manustada ja kuhu külastaja ümber suunata.

Turvaskoor ei ole "SEO-skoor". See näitab oluliste turvapäiste paika panemise protsenti. Tüüpiline tulemus konfigureerimata saidi puhul on puuduv CSP ja X-Frame-Options.

Päiseid tasub kontrollida kolmel juhul: pärast uude hostingusse või CDN-i kolimist, pärast vahemälu- ja turvapluginate installimist ning enne reklaamide käivitamist, kui iga laadimissekund maksab raha. Tööriist töötab võrdselt hästi veebisaidi arendus-, testimis- ja tootmisversioonides, kui aadress on internetist kättesaadav.

Kuidas kontrollida veebisaidi HTTP päiseid veebis?

1. Ava tööriist. HTTP päise kontrollimine töötab sinu brauseris – installimist pole vaja.
2. Sisesta täielik aadress koos protokolliga: https://example.com/catalog/. Üks kontroll – üks URL.
3. Klõpsake nuppu „Kontrolli“. Vastus saabub mõne sekundi jooksul.
4. Vaadake turvahinnangut ja puuduvate päiste loendit.
5. Läbi vahemälu, tihendamise ja CORS-i ning seejärel ümbersuunamisahel.
6. Palun parandage oma serveri, CDN-i või plugina seaded ja kontrollige uuesti.

Tööriista lehel on üks aadressiväli, kinnitusnupp ja lühike kirjeldus: mida analüüsitakse, kuidas seda kasutada ja millised on piirangud.

Külgribal kuvatakse praegune tšekkide arv. Külalised saavad päevas teha paar tšekki; pärast tasuta registreerimist kolmekordistub limiit ja tasuline Pro-pakett pakub piiramatut arvu tšekke.

Kuidas serveri vastust lugeda ja mida kõigepealt parandada?

Ärge proovige kõike korraga lahendada. Töötage alates sellest, mis rikub ligipääsetavust ja HTTPS-i, kuni selleni, mis parandab turvalisust.

1. Ümbersuunamised. Ahel http → https → www → /index.php koosneb kolmest ebavajalikust päringust. Tavaliselt on mis tahes aadressivariatsioonist vaja ühte 301 ümbersuunamist lõplikule URL-ile.
2. HSTS. Kui teie sait kasutab ainult HTTPS-i, lisage Strict-Transport-Security: max-age=31536000. Alustage väikese max-age kui te pole kindel, kas kõik alamdomeenid on HTTPS-toega.
3. Tihendus. Kui teie HTML-is pole Content-Encoding: br või gzip, lubage tihendamine oma serveri või CDN-i seadetes. See üks konfiguratsioonirida võib kiirust märkimisväärselt parandada.
4. Vahemällu salvestamine. Piltide, CSS-i ja JS-i puhul, mille failinimes on versioon, määrake pikk vahemälu ( Cache-Control: public, max-age=31536000, immutable); HTML-i puhul määrake lühike vahemälu või no-cache.
5. X-Frame-Options ja CSP. X-Frame-Options: SAMEORIGIN takistab lehe manustamist teise raami. Konfigureeri CSP hoolikalt: range reegel võib analüütikat ja vidinaid kergesti rikkuda, seega luba esmalt režiim Content-Security-Policy-Report-Only.
6. CORS. Access-Control-Allow-Origin: * viga. Palun täpsustage konkreetsed domeenid.

Levinud lõks on pärast turvaplugina installimist kogu saidil Cache-Control: no-store. Sait töötab, aga iga külastus laadib nii, nagu oleks see esimene.

Nii näeb välja hästi häälestatud lehe vastus – võrdlusalus, millega tulemusi võrrelda:

HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:

Vastusekood on 200, leht on Brotli-tihendusega, HTML-i ei salvestata pikaks ajaks vahemällu, HTTPS on lukustatud üheks aastaks ning manustamine teistesse raamidesse ja failitüübi asendamine on keelatud. Kui teie vastusekood on 301 või 302 200 asemel, siis pole te lõplikku URL-i kontrollinud – kontrollige ümbersuunamisahelat ja kleepige lõplik URL.

Võrdlus: PromoPilot ja alternatiivid pealkirjade kontrollimiseks

Pealkirjade vaatamiseks on mitu võimalust, millest igaüks sobib oma olukorra jaoks.

Kokkuvõte: Ühekordseks kontrolliks koos selge hinnangu ja juhistega on mugavam veebitööriist, samas kui DevTools ja Curl sobivad hästi, kui te juba teate, mida otsite. Securityheaders.com täiendab kontrolli, kui teie eesmärk on puhtalt kaitse.

See on vaid üks PromoPiloti 87 tasuta SEO tööriistast: seal on ka SSL-sertifikaadi kontrollija, ümbersuunamised ja DNS-kirjed – neid käsitletakse selle jaotise artiklites.

Päisekontrollija piirangud: mida tööriist ei näita

Kontroll vaatab ühe URL-i päiseid, mitte kogu saiti. See, et põhileht on õigesti konfigureeritud, ei tähenda, et tooteleht või fail kaustas /uploads/ samamoodi reageerib.

Mõned päised lisatakse CDN-i või puhverserveri tasemel ning võivad sõltuda päringu päritoluteest ja isegi piirkonnast. Seetõttu võib tulemus erineda brauseris nähtust. Kui CDN-i reegel on konfigureeritud ainult /blog/* jaoks, siis teised sektsioonid seda ei saa.

Ja mis kõige tähtsam: pealkirjad on seaded, mitte sisu. Tööriist ei kontrolli pealkirja, teksti ega märgistust – selle jaoks on eraldi lehekontrollid.

Veel üks muudatustega seotud hoiatus. Pärast serveri konfiguratsiooni muutmist ei pruugi tulemus kohe uueneda: CDN hoiab vana vastust vahemällu salvestatud. Tühjendage CDN-i vahemälu või oodake paar minutit ja seejärel käivitage kontroll uuesti.

Millal tasuta tööriistast ei piisa?

Tööriist ütleb sulle ausalt, millised päised puuduvad. Nende lisamine nõuab aga tööd serveri, CDN-i või veebisaidi mootoriga. Spetsialisti on vaja järgmistel juhtudel:

• Pärast CSP lubamist vormid, maksed või analüütika lakkasid töötamast;
• erinevatel sektsioonidel on erinevad pealkirjad ja pole selge, kes need määrab – server, plugin või CDN;
• sait on aeglane, kuigi vahemälu ja tihendamine on sisse lülitatud;
• Teil pole serverile ligipääsu ja majutusettevõte vastab mallimeilidega.

Mida ma saan teie veebisaidi heaks teha?

Minu nimi on Valeriy Danyuk, olen arendaja ja SEO spetsialist: viimase 12 aasta jooksul olen loonud veebilehti ja süsteeme enam kui 200 kliendile. Pealkirjad on SEO osa, mida kliendid tavaliselt ei näe, aga mina seadsin need esmalt üles.

SEO ja reklaam

• Valmislahenduste SEO audit: kontrollin serverit, päiseid, ümbersuunamisi, kiirust ja indekseerimist ning seejärel parandan põhjused, mitte sümptomid.
• Sisu, mis toob kliente otsingu kaudu: tehisintellektil põhinev SEO-blogi, mis kirjutab ja avaldab artikleid.

Veebilehed ja veebipoed

• WordPress veebisait tehisintellekti abilisega hinnaga 299 eurot ja 3 päeva – konfigureeritud vahemälu, tihendamise ja HTTPS-iga esimesest päevast alates.
• Veebisait 1001site: teie domeeni SSL väljastatakse ja uuendatakse automaatselt, serveripoolne renderdamine ja sotsiaalmeedia eelvaated konfigureeritakse automaatselt. Kui teile meeldib kellegi teise disain, saate luua veebisaidi, kasutades ühte enam kui 1000 viitestiilist.

CRM, raamatupidamine ja automatiseerimine

• E-kaubanduse agendid vestlusrobotite asemel – kui pood vajab lisaks veebilehele ka müügiassistenti.
• Tšehhi Vabariigi ettevõtte veebipoe igakuine raamatupidamissüsteem.

Rohkem projekte on minu portfoolios. Saatke mulle oma veebisaidi aadress Telegram – ma vaatan pealkirjad üle ja ütlen, mis annab mulle kohe tulemusi.

Tulemus

1. HTTP päiste kontrollimine võrgus näitab sekunditega, kuidas server brauserile ja otsingurobotile reageerib.
2. Paranda see järjekorras: ümbersuunamised → HSTS → tihendamine → vahemälu → X-Frame-Options ja CSP → CORS.
3. Kontrolli lisaks avalehele ka teisi funktsioone: CDN-id ja pluginad saavad erinevatele sektsioonidele määrata erinevad päised.
4. Kui serveri seaded pole saadaval või on vastuolulised, on lihtsam delegeerida ülesanne spetsialistile või luua sait 1001site abil, kus HTTPS ja renderdamine on juba konfigureeritud.

Kontrolli oma avalehte kohe: käivita tasuta HTTP päise kontroll ja kui sul on küsimusi, kirjuta mulle Telegram.

Allikad

• PromoPiloti HTTP päise kontrollija tööriista leht – kontrollide ja piirangute loend.
• securityheaders.com - Turvapäise hindamise kirjeldus.
• Chrome DevToolsi dokumentatsioon – võrgupaneel ja päiste vaatamine.