Preverjanje glav HTTP na spletu: Na kaj se odziva vaš strežnik in kako to popraviti

Kratek odgovor: če želite preveriti glave HTTP na spletu, prilepite naslov strani v orodje za preverjanje glav HTTP PromoPilot in kliknite»Preveri«. Orodje bo prikazalo vse glave odgovorov strežnika, odstotek varnosti, nastavitve predpomnjenja, stiskanja in CORS ter verigo preusmeritev do končnega URL-ja. Registracija ni potrebna. Spodaj boste našli informacije o tem, katere glave so pomembne, kako brati rezultate in kaj najprej popraviti.

Preden oddam vsak projekt, preverim glave: tako odkrijem polovico "skrivnostnih" težav – spletno mesto, ki ne predpomni, streže strani brez stiskanja ali pa je pozabilo zavarovati HTTPS.

Kaj pokaže preverjanje glav HTTP?

Ko brskalnik ali iskalni robot zahteva stran, strežnik najprej odgovori s servisnimi vrsticami – glavami – in šele nato vrne HTML. Te glave opisujejo, kako naj se stran shrani v predpomnilnik, ali je stisnjena, ali jo je mogoče vdelati na drugo spletno mesto in kam preusmeriti obiskovalca.

Varnostna ocena ni»ocena SEO«. Prikazuje odstotek pomembnih varnostnih glav, ki so nameščene. Tipičen rezultat za spletno mesto, ki ni bilo konfigurirano, je manjkajoči CSP in X-Frame-Options.

Obstajajo tri situacije, ko je vredno preveriti glave: po selitvi na novo gostovanje ali CDN, po namestitvi vtičnikov za predpomnjenje in varnost ter pred zagonom oglasov, ko vsaka sekunda nalaganja stane denar. Orodje deluje enako dobro za razvojne, testne in produkcijske različice spletnega mesta, če je naslov dostopen z interneta.

Kako preveriti HTTP glave spletnega mesta na spletu?

1. Odprite orodje. Preverjanje glave HTTP deluje v vašem brskalniku – namestitev ni potrebna.
2. Vstavite celoten naslov s protokolom: https://example.com/catalog/. Eno preverjanje - en URL.
3. Kliknite»Preveri«. Odgovor prispe v nekaj sekundah.
4. Oglejte si varnostno oceno in seznam manjkajočih glav.
5. Pojdite skozi predpomnilnik, stiskanje in CORS, nato pa skozi verigo preusmeritev.
6. Popravite nastavitve na strežniku, CDN-ju ali vtičniku in preverite znova.

Stran orodja vsebuje eno polje za naslov, gumb za preverjanje in kratek opis: kaj se analizira, kako to uporabljati in omejitve.

Stranska vrstica prikazuje trenutno število čekov. Gostje lahko opravijo nekaj čekov na dan; po brezplačni registraciji se omejitev potroji, plačljivi paket Pro pa ponuja neomejeno število čekov.

Kako prebrati odgovor strežnika in kaj najprej popraviti?

Ne poskušajte obravnavati vsega naenkrat. Pojdite od tistega, kar moti dostopnost in HTTPS, do tistega, kar izboljša varnost.

1. Preusmeritve. Veriga http → https → www → /index.php je sestavljena iz treh nepotrebnih zahtev. Običajno je iz katere koli različice naslova potrebna ena preusmeritev 301 na končni URL.
2. HSTS. Če vaše spletno mesto uporablja samo HTTPS, dodajte Strict-Transport-Security: max-age=31536000. Začnite z majhno max-age, če niste prepričani, da so vse poddomene omogočene za HTTPS.
3. Stiskanje. Če v HTML-ju nimate Content-Encoding: br ali gzip, omogočite stiskanje v nastavitvah strežnika ali CDN-ja. Ta ena sama konfiguracijska vrstica lahko znatno izboljša hitrost.
4. Predpomnjenje. Za slike, CSS in JS z različico v imenu datoteke nastavite dolg predpomnilnik ( Cache-Control: public, max-age=31536000, immutable); za HTML nastavite kratek predpomnilnik ali no-cache.
5. Možnosti okvirja X in CSP. X-Frame-Options: SAMEORIGIN preprečuje vdelavo strani v drug okvir. CSP konfigurirajte previdno: stroga politika lahko zlahka prekine analitiko in gradnike, zato najprej omogočite način Content-Security-Policy-Report-Only.
6. CORS. Access-Control-Allow-Origin: * za API-je z osebnimi podatki gre za napako. Navedite določene domene.

Pogosta past je Cache-Control: no-store na celotnem spletnem mestu po namestitvi varnostnega vtičnika. Spletno mesto deluje, vendar se vsak obisk naloži, kot da bi bil prvi.

Takole izgleda odziv dobro nastavljene strani – merilo za primerjavo rezultatov:

HTTP/2 200
content-type: text/html; charset=utf-8
content-encoding: br
cache-control: no-cache
strict-transport-security: max-age=31536000; includeSubDomains
x-frame-options: SAMEORIGIN
x-content-type-options: nosniff
content-security-policy: default-src 'self'; img-src 'self' data: https:

Koda odgovora je 200, stran je stisnjena z Brotli, HTML ni predpomnjen dlje časa, HTTPS je zaklenjen za eno leto, vdelava v druge okvirje in zamenjava tipov datotek pa sta prepovedani. Če je vaša koda odgovora 301 ali 302 namesto 200, niste preverili končnega URL-ja – preverite verigo preusmeritev in prilepite končni URL.

Primerjava: PromoPilot in alternative za preverjanje naslovov

Naslove si lahko ogledate na več načinov, vsak od njih pa je primeren za svojo situacijo.

Zaključek: Za enkratno preverjanje z jasno oceno in pozivi je spletno orodje bolj priročno, medtem ko sta DevTools in Curl dobra, če že veste, kaj iščete. Securityheaders.com dopolnjuje preverjanje, če je vaš cilj zgolj zaščita.

To je le eno od 87 brezplačnih orodij PromoPilot za SEO: na voljo je tudi preverjevalnik SSL-certifikatov, preusmeritve in DNS-zapisi – ti so obravnavani v člankih v tem razdelku.

Omejitve preverjevalnika glave: Česa orodje ne bo prikazalo

Preverjanje pregleda glave posameznega URL-ja, ne celotnega spletnega mesta. Samo zato, ker je glavna stran pravilno konfigurirana, še ne pomeni, da se bo stran izdelka ali datoteka v mapi /uploads/ odzvala enako.

Nekatere glave so dodane na ravni CDN-ja ali proxyja in so lahko odvisne od poti in celo regije, iz katere izvira zahteva. Zato se lahko rezultat razlikuje od tistega, kar vidite v brskalniku. Če je pravilo v CDN-ju konfigurirano samo za /blog/*, ga drugi razdelki ne bodo prejeli.

In kar je najpomembneje: naslovi so nastavitve, ne vsebina. Orodje ne preverja naslova, besedila ali oznak – za to obstajajo ločena preverjanja strani.

Še eno opozorilo glede sprememb. Po urejanju konfiguracije strežnika se rezultat morda ne bo posodobil takoj: CDN shrani stari odgovor v predpomnilnik. Počistite predpomnilnik CDN ali počakajte nekaj minut in nato znova zaženite preverjanje.

Kdaj brezplačno orodje ni dovolj?

Orodje vam bo pošteno povedalo, katere glave manjkajo. Vendar pa njihovo dodajanje zahteva delo s strežnikom, CDN-jem ali spletnim mehanizmom. Potrebovali boste strokovnjaka, če:

• Po omogočanju CSP-ja so obrazci, plačila ali analitika prekinili delovanje;
• različni razdelki imajo različne naslove in ni jasno, kdo jih nastavi – strežnik, vtičnik ali CDN;
• spletno mesto je počasno, čeprav sta predpomnilnik in stiskanje "vklopljena";
• Nimate dostopa do strežnika, ponudnik gostovanja pa vam odgovori s predlogami e-poštnih sporočil.

Kaj lahko storim za vašo spletno stran?

Moje ime je Valeriy Danyuk, sem razvijalec in SEO specialist: v zadnjih 12 letih sem zgradil spletne strani in sisteme za več kot 200 strank. Naslovi so del SEO, ki ga stranke običajno ne vidijo, vendar jih jaz najprej nastavim.

SEO in promocija

• SEO revizija na ključ: Preverim strežnik, glave, preusmeritve, hitrost in indeksiranje ter nato odpravim vzroke, ne simptomov.
• Vsebina, ki privablja stranke iz iskanja: SEO blog, ki ga poganja umetna inteligenca in piše ter objavlja članke.

Spletne strani in spletne trgovine

• Spletna stran WordPress z umetno inteligenco kot pomočnikom za 299 € in 3 dni – z konfiguriranim predpomnilnikom, stiskanjem in HTTPS od prvega dne.
• Spletna stran na 1001site: SSL na vaši domeni se izda in obnovi samodejno, upodabljanje na strani strežnika in predogledi v družbenih omrežjih se konfigurirajo samodejno. Če vam je všeč dizajn nekoga drugega, lahko ustvarite spletno stran z enim od več kot 1000 referenčnih slogov.

CRM, računovodstvo in avtomatizacija

• Agenti za e-trgovino namesto klepetalnih robotov – ko trgovina ne potrebuje le spletne strani, temveč prodajnega asistenta.
• Mesečni računovodski sistem za spletno trgovino za podjetje iz Češke republike.

V mojem portfelju je še več projektov. Pošljite mi naslov svojega spletnega mesta na Telegram – preveril bom naslove in vam povedal, kaj mi bo dalo takojšnje rezultate.

Rezultat

1. Preverjanje glav HTTP na spletu v nekaj sekundah pokaže, kako se strežnik odziva na brskalnik in iskalnega robota.
2. Popravi po vrsti: preusmeritve → HSTS → stiskanje → predpomnilnik → možnosti X-Frame in CSP → CORS.
3. Preverite več kot le domačo stran: CDN-ji in vtičniki lahko različnim razdelkom dodelijo različne glave.
4. Če nastavitve strežnika niso na voljo ali so v konfliktu, je lažje nalogo prepustiti strokovnjaku ali zgraditi spletno mesto na 1001site, kjer sta HTTPS in upodabljanje že konfigurirana.

Takoj preverite svojo domačo stran: zaženite brezplačno preverjanje glave HTTP in če imate kakršna koli vprašanja, mi pišite na Telegram.

Viri

• Stran z orodjem za preverjanje glave HTTP PromoPilot – seznam preverjanj in omejitev.
• securityheaders.com - Opis ocenjevanja varnostne glave.
• Dokumentacija o orodjih za razvijalce v Chromu – omrežna plošča in ogled glav.