HSTS
Strict-Transport-Security — принудительный HTTPS для браузера.
Введите адрес сайта
Введите адрес сайта — покажем оценку и объясним простым языком, чего не хватает на сервере. Ничего на сайте не меняем.
Что проверяет инструмент
Углублённый аудит HTTP-заголовков: оценка A–F, разбор значений HSTS и CSP, сниппеты для nginx/.htaccess. Краткий список «есть/нет» — в инструменте WP Quick Check; здесь — полный разбор только заголовков (HEAD, без HTML).
CSP
Content-Security-Policy — защита от XSS и инъекций.
X-Frame-Options
Защита от clickjacking — нельзя встроить сайт в iframe.
X-Content-Type
X-Content-Type-Options: nosniff — браузер не угадывает тип файлов.
Referrer-Policy
Какие данные о пользователе утекают на сторонние сайты.
Permissions-Policy
Контроль доступа к камере, микрофону, геолокации.
Что мы делаем «под капотом»
Делаем HEAD-запрос к вашему URL, читаем заголовки ответа, сверяем со списком рекомендованных. Для каждого заголовка показываем — есть он или нет, и что в нём не так, если он есть.
Что мы НЕ делаем
- Не запрашиваем доступ в админку и не предлагаем установить плагин.
- Не сохраняем результаты проверки — каждый запрос свежий.
- Не пытаемся подобрать пароль, не сканируем уязвимости.
- Работаем только с публично доступными данными (как поисковый бот).
Что означают цифры и оценки
Оценка A–F — по набору заголовков на главной (или указанной странице). Зелёный HSTS — браузер ходит только по HTTPS. CSP — политика скриптов; «нет» не всегда критично на простом лендинге, но на магазине желательно. Сниппеты внизу — готовые строки для .htaccess на Apache или панели Beget/Timeweb.
Типовые причины и что делать
Не вердикт «навсегда» — стартовый чек-лист. Для ремонта под ключ — ссылка ниже.
Нет HSTS
Сайт открывается по http без редиректа — настройте 301 и Strict-Transport-Security.
Нет X-Frame-Options
Сайт можно встроить в iframe — риск clickjacking на формах оплаты.
Заголовки есть, но CSP слабый
unsafe-inline в CSP — частичная защита; ужесточать осторожно, чтобы не сломать Elementor.
Читайте по теме этого инструмента
WordPress REST API: защита wp-json, users и xmlrpc
По /wp-json/wp/v2/users бот видит логины — дальше брутфорс wp-login. Утечка через REST, author= и xmlrpc: закрываем без поломки редактора — не «отключите интернет».
Безопасность WordPress: чек-лист защиты на 30 минут
Большинство взломов WordPress — автоматические сканеры, не «хакер лично на вас». Чек-лист за 30 минут отсекает подавляющее большинство ботов — не обзор платных «комплексных» решений.
Хотите ту же проверку прямо сейчас?
Сделаем аудит руками
Запустили инструмент и нужна интерпретация результатов? Разберём вместе и подскажем, что чинить.