דילוג לתוכן
sporesecsporesec
כניסת לקוחותשיחת היכרות חינם

כותרות אבטחה: ארבע הגדרות במילים פשוטות

מה עושים HSTS, מדיניות אבטחת תוכן, nosniff ומדיניות Referrer, ומה לבקש מחברת האחסון לבדוק באתר.

הריצו את בדיקת האתר החינמית

נבדק בתאריך 2026-10-29

מה הן

כותרות אבטחה הן הוראות קצרות שהשרת שולח עם כל עמוד. הדפדפן קורא אותן ומפעיל כללים נוספים. הגדרתן היא עבודת אחסון שגרתית.

HSTS

HSTS אומר לדפדפן להשתמש באתר רק ב-HTTPS ולשדרג כל בקשת http מאוחרת. max-age הוא כמה זמן הדפדפן זוכר. includeSubDomains מרחיב לתת-דומיינים. הדגל האופציונלי preload דורש max-age של שנה לפחות ואת includeSubDomains, ומצרף את האתר לרשימה שמובנית בדפדפנים; את הרשימה הזו מפעילה Google והיא לא חלק מתקן HSTS.

מדיניות אבטחת תוכן

מדיניות אבטחת תוכן (Content Security Policy) קובעת מאילו מקורות עמוד רשאי לטעון משאבים. היא עוזרת להגן מפני cross-site scripting: היא מגבילה מה סקריפט מוזרק יכול לעשות, והיא לא טוענת לעצור כל התקפה כזו.

nosniff

X-Content-Type-Options: nosniff אומר לדפדפן לסמוך על סוג הקובץ המוצהר ולא לנחש. סקריפט או סגנון עם סוג שגוי נחסמים.

מדיניות Referrer

Referrer-Policy שולטת בכמה מכתובת העמוד נשלח לאתרים אחרים כשגולש עוקב אחרי קישור. דפדפנים מודרניים כבר משתמשים כברירת מחדל ב-strict-origin-when-cross-origin.

תוכן מעורב

עמוד מאובטח שטוען חלק מהחלקים ב-http רגיל נקרא "מעורב". דפדפנים משדרגים תמונות, אודיו ווידאו וחוסמים סקריפטים, סגנונות ומסגרות שנטענו כך.

מה אנחנו בודקים

אילו מהכותרות האלה עמוד הבית שולח, והאם כתובת ה-http הרגילה עוברת ל-https. אנחנו אומרים קיים או חסר בתאריך שקראנו. זו קריאה מבחוץ; היא לא סקירת אבטחה ולא הבטחה לבטיחות.

מה לשאול את חברת האחסון

האם האתר מעביר מ-http ל-https? האם HSTS מופעל? האם הוגדרה מדיניות אבטחת תוכן, והאם נבדקה לפני שנאכפה? האם כל הסקריפטים והתמונות נטענים ב-https?

מה אנחנו לא אומרים

כותרת שאין לכם אינה הוכחה לבעיה, וסט מלא אינו הוכחה לבטיחות.

מקורות

  1. MDN, Strict-Transport-Security (נקרא בתאריך 2026-10-28)
  2. MDN, Content-Security-Policy (נקרא בתאריך 2026-10-28)
  3. MDN, X-Content-Type-Options (נקרא בתאריך 2026-10-28)
  4. MDN, Referrer-Policy (נקרא בתאריך 2026-10-28)
  5. MDN, Mixed content (נקרא בתאריך 2026-10-28)

רוצים שנקרא את האתר שלכם? הריצו את בדיקת האתר החינמית או קבעו שיחה חינם.

אנחנו בונים, ונשארים לתחזק.

חינם, 30 דקות, בלי מצגות מכירה. אנחנו שואלים על הבעיה, המטרה ומה כבר ניסיתם. אם מתאים, מקבלים הצעת מחיר קבועה.