ترويسات محلَّلة، لا مجرد مُدرجة
عمق تحليل توجيهات CSP، والتحقق المباشر من قائمة HSTS المُدرجة مسبقًا، ومرجع CWE/OWASP لكل ملاحظة - أعمق فحص فردي تُجريه Scanverra.
افحص ترويساتي مجانًاالترويسات الأساسية، بنظرة سريعة
| الترويسة | ما تقوم به | CWE |
|---|---|---|
| Content-Security-Policy | تقيّد النصوص البرمجية والأنماط والموارد التي يمكن تحميلها | CWE-693 |
| Strict-Transport-Security | تفرض HTTPS، وتمنع هجمات خفض مستوى البروتوكول | CWE-319 |
| X-Frame-Options | تمنع تأطير موقعك لتنفيذ هجمات clickjacking | CWE-1021 |
| X-Content-Type-Options | تمنع المتصفحات من استنشاق نوع MIME للاستجابات | - |
| Referrer-Policy | تتحكم فيما يُرسَل ضمن ترويسة Referer إلى المواقع الأخرى | - |
| Permissions-Policy | تقيّد الوصول إلى ميزات المتصفح مثل الكاميرا وتحديد الموقع الجغرافي | - |
ماذا يعني "التحليل" فعليًا هنا
تحليل توجيهات CSP
ليس مجرد التحقق من "وجود CSP" - بل فحص base-uri وform-action وobject-src وframe-ancestors كل على حدة، ووضع علامة على المصادر ذات النطاق الواسع (wildcard) المفرط.
تحقق مباشر من قائمة HSTS المُدرجة مسبقًا
يتحقق من إعدادات max-age وincludeSubDomains في HSTS، ثم يتحقق مباشرة من قائمة التحميل المسبق HSTS في المتصفحات للتأكد من أن نطاقك مُحمَّل مسبقًا فعلًا، وليس مجرد مهيأ لطلب ذلك.
كشف الترويسات المهجورة
يضع علامة على ترويسات مثل X-XSS-Protection التي أصبحت المتصفحات تعتبرها مهجورة ولم تعد تعمل بها، حتى لا تعتمد على حماية لم تعد موجودة.
كيف يعمل
فحص واحد، كل ترويسة، تحليل حقيقي.
الصق رابط موقعك
فحص خارجي لترويسات الاستجابة المباشرة لموقعك - نفس الترويسات التي يتلقاها متصفح أي زائر.
تحليل كل ترويسة
الوجود، وعمق الإعداد، ونقاط الضعف المعروفة - وليس مجرد قائمة تحقق بسيطة من نوع موجود/مفقود.
إصلاحات بقيم ترويسات دقيقة
كل ملاحظة مرفقة بمعرّف CWE، وفئة من OWASP Top 10، وقيمة ترويسة موصى بها بشكل محدد لضبطها.
الأسئلة الشائعة
سرد الترويسات الموجودة أمر سهل. أما تحليل ما إذا كانت سياسة Content-Security-Policy مقيّدة فعليًا، وما إذا كانت ترويسة HSTS لديك مُدرجة مسبقًا بالفعل (وليست مجرد مُهيّأة)، وربط كل ثغرة بمعرّف CWE وفئة OWASP محددين، فهذا ما تتجاهله معظم أدوات فحص الترويسات.
CWE (تعداد نقاط الضعف الشائعة) هو معرّف قياسي لفئة من فئات الثغرات الأمنية؛ وOWASP Top 10 هي قائمة معروفة على نطاق واسع بأخطر مخاطر أمان تطبيقات الويب. ربط الملاحظات بكليهما يجعل توصيلها أسهل لفريق الأمان أو المدقق الذي يعمل بالفعل بهذه المصطلحات.
نعم - يُجري تحققًا مباشرًا من قائمة التحميل المسبق HSTS في المتصفحات، فتحصل على إجابة حقيقية، وليس فقط معرفة ما إذا كان الترويسة تتضمن كلمة "preload".
يمكن ذلك، إذا طُبّقت دون تدقيق - فسياسة CSP شديدة الصرامة قد تحجب دون قصد نصوصك البرمجية الخاصة، أو أدوات التحليلات، أو مزود الدفع. راجع دليل CSP المرتبط أدناه للاطلاع على استراتيجية طرح آمنة باستخدام وضع report-only قبل التطبيق الفعلي.
تدقيقات ذات صلة
تدقيق الموقع
نفّذ تدقيقًا فوريًا ومجانيًا للأداء وSEO وإمكانية الوصول وأفضل الممارسات.
تدقيق SEO
تحقّق من قابلية الزحف والبيانات الوصفية والبيانات المنظمة وإمكانية الاكتشاف بواسطة وكلاء الذكاء الاصطناعي.
تدقيق الأداء
تدقيق أداء مخبري كامل على سطح المكتب والجوال، مع إصلاحات مخصصة لإطار العمل لديك.
تدقيق إمكانية الوصول
شاهد بالضبط معايير نجاح WCAG 2.1/2.2 التي يفشل موقعك فيها، ولماذا.
تدقيق الأمان
حوّل فحص الرؤوس/الثغرات إلى أدلة امتثال لضوابط SOC 2 وGDPR.
تدقيق سرعة الموقع
مدى سرعة تحميل موقعك، بلغة بسيطة - رقم واحد، بلا مصطلحات تقنية معقدة.
تدقيق Core Web Vitals
تحقّق من LCP وCLS وINP مقابل حدود Google، في المختبر والميدان.
فاحص الروابط المعطلة
يزحف إلى روابط الصفحة ويجد الروابط المعطلة قبل أن يجدها زوارك.
فاحص Open Graph
يتحقق مما إذا كانت صفحتك تحتوي على وسوم og:title وog:description وog:image التي تحتاجها منصات التواصل الاجتماعي.
فاحص ترميز Schema
يتحقق مما إذا كانت صفحتك تُصدر بيانات JSON-LD منظمة يمكن لمحركات البحث ووكلاء الذكاء الاصطناعي قراءتها.
فاحص خريطة الموقع
يتحقق مما إذا كان ملف sitemap.xml قابلاً للوصول وصالحًا وخاليًا من الأخطاء الشائعة.
فاحص إعادة التوجيه
يتتبع سلسلة إعادة توجيه الرابط ويكتشف الحلقات والقفزات الزائدة والتراجع من HTTPS إلى HTTP.
مدقق SSL
اختبر شهادة SSL خلال ثوانٍ من حيث الانتهاء واسم المضيف وسلسلة الثقة وإصدار TLS وقوة المفتاح وHSTS.
مدقق التباين
احسب نسبة تباين WCAG بين لونين، واطّلع على نتائج AA وAAA، واحصل على لون مقترح يسهل الوصول إليه.
مدقق التقنيات
اكتشف نظام إدارة المحتوى وإطار العمل ومنصة التجارة الإلكترونية والمكتبات التي بُني بها أي موقع.
مدقق robots.txt
تحقق من الصيغة وأسطر Sitemap وحدود الحجم، واختبر ما إذا كان Googlebot أو زاحف آخر يستطيع الوصول إلى رابط.
مدقق canonical
اكتشف وسوم canonical المفقودة أو المكررة أو النسبية أو المتعارضة، وتحقق من تحميل الرابط الأساسي.
مدقق hreflang
يتحقق من رموز اللغات وx-default والمرجع الذاتي، ويتأكد من أن كل صفحة بديلة تشير بالمقابل.
مدقق الوسوم الوصفية
افحص وسم العنوان والوصف التعريفي وعناوين H1 وrobots وviewport ووسوم Open Graph لأي صفحة.
مدقق حالة HTTP
افحص حتى 20 رابطًا دفعة واحدة بحثًا عن 200 و301 و404 و500 وسلاسل إعادة التوجيه.
مقيّم CSP
افحص سياسة أمان المحتوى بحثًا عن unsafe-inline وunsafe-eval وأحرف البدل وغياب object-src أو base-uri، عبر رابط أو بلصق السياسة.
مدقق المحتوى المختلط
يكتشف السكربتات وأوراق الأنماط والإطارات والصور عبر http:// في صفحات HTTPS التي تحظرها المتصفحات أو تنبّه إليها.
مدقق النص البديل
يكتشف الصور ذات النص البديل المفقود أو الفارغ أو الذي هو اسم ملف أو الطويل جدًا، لإمكانية الوصول وتحسين الصور.
مدقق مفاتيح API
يفحص HTML وJavaScript العامين لأي موقع بحثًا عن مفاتيح API ورموز وصول وأسرار مكشوفة.
ماسح أمان MCP
يكتشف خوادم MCP غير المثبّتة والرموز المسرّبة وإعدادات الوكلاء الخطرة في مستودعك.
أمان البرمجة بالإيحاء
يفحص الشيفرة المكتوبة بالذكاء الاصطناعي بحثًا عن الأسرار وثغرات الحقن والتبعيات الخطرة.
مدقق الامتثال لقانون ADA
اختبر موقعك وفق معايير WCAG التي تستند إليها قضايا ADA.
مدقق EAA
افحص موقعك وفق أساس WCAG لقانون إمكانية الوصول الأوروبي.
للوكالات
دقّق مواقع العملاء في السيو والسرعة وإمكانية الوصول والأمان بخطة فريق واحدة.
قراءات ذات صلة
Website Security Headers Explained: The Complete Checklist
CSP, HSTS, X-Frame-Options, and every other HTTP security header your site should ship - with copy-pasteable examples.
How to Implement a Content Security Policy Without Breaking Your Site
CSP is the highest-leverage security header and the easiest one to break your own site with - a safe rollout strategy using report-only mode.
افحص ترويسات الأمان لديك مجانًا
عمق تحليل CSP، والتحقق من HSTS preload، والربط بـ CWE/OWASP.
تشغيل الفحص المجاني