Аудит безопасности

# Браузер — проверяется у вас прямо сейчас

• [ .. ] HTTPS # Соединение зашифровано: никто по пути (провайдер, публичный Wi-Fi) не прочитает и не подменит страницу.
• [ .. ] HTTP/2+ # Современный протокол: быстрее и без старых проблем HTTP/1.1.
• [ .. ] HSTS # Браузер запоминает, что сайт открывается только по HTTPS, и не даст «понизить» соединение до HTTP.
• [ .. ] CSP # Content-Security-Policy разрешает скрипты только с этого сайта и только с одноразовым nonce — внедрённый чужой скрипт (XSS) не выполнится.
• [ .. ] Clickjacking # Сайт нельзя встроить в чужую страницу и обманом заставить нажать на что-то.
• [ .. ] nosniff # Браузер не будет «угадывать» тип файла — загруженную картинку нельзя выдать за скрипт.
• [ .. ] Referrer-Policy # При переходе по внешней ссылке сайт сообщает только домен, но не адрес страницы.
• [ .. ] Permissions-Policy # Камера, микрофон и геолокация запрещены для страницы целиком.
• [ .. ] Версия ПО # Сервер не сообщает, на чём и какой версии работает, — атакующему меньше подсказок.
• [ .. ] Сторонние запросы # Все файлы загружаются только с этого сайта: никаких CDN, шрифтов Google, счётчиков и трекеров.
• [ .. ] Cookie # Cookie, которые видит страница. Отслеживающих нет, есть только выбор языка, если вы его меняли.

# Сервер — проверяется раз в 6 часов

• [ .. ] TLS # Версия протокола шифрования: TLS 1.3 — самая новая и надёжная.
• [ .. ] Сертификат # Кто выдал и сколько осталось. Let's Encrypt продлевается автоматически.
• [ .. ] HTTP → HTTPS # Если набрать адрес без https://, сервер сразу перенаправит на защищённую версию.
• [ .. ] HSTS preload # Домен в списке, встроенном в браузеры: HTTPS с самого первого визита, ещё до первого ответа сервера.
• [ .. ] CAA # DNS-запись, которая разрешает выпускать сертификаты для домена только указанным центрам.
• [ .. ] DNSSEC # Подпись DNS-ответов. Не включена: от подмены DNS сайт защищают HTTPS и HSTS preload.
• [ .. ] security.txt # Стандартный файл (RFC 9116) с контактами для сообщений об уязвимостях.