← 云枢 AI 导航 · 工具库
HTTP 安全响应头：配了就生效，没配就裸奔
输入网址，服务端真实请求一次，列出全部响应头，并对六项关键安全头打分——缺哪项、该怎么补，都直接写出来。
立即使用 →
English
安全响应头是性价比最高的一类防护：加一行配置，就能挡掉一整类攻击。Strict-Transport-Security 让后续访问强制走 HTTPS，Content-Security-Policy 是防 XSS 的最后一道闸，X-Frame-Options 防点击劫持。
问题在于它们不会报错——不配也能正常跑，所以很少有人主动检查。这个工具把"缺什么"直接摊开，并按权重给出 0-100 的分数。
它会检查什么
- 六项关键安全头逐项判定（已配置 / 缺失）
- 每项缺失时给出可直接抄的配置值
- 状态码、协议版本、解析 IP、耗时、重定向链
- 完整响应头列表
- SSRF 防护：只允许 80/443，拒绝内网与云元数据地址
常见问题
- 分数低就一定有漏洞吗？
- 不一定。这只反映六项"配了就有用"的头，不代表站点整体安全。有些站点用 WAF 或 CDN 在别处兜底，头可以不配。但对绝大多数站点来说，这几项是零成本的收益。
- CSP 直接上会不会把站弄坏？
- 会。CSP 配错比不配更危险——它会把内联脚本、外部字体全挡掉，页面直接白屏。建议先用
Content-Security-Policy-Report-Only 观察一段时间，再切正式头。
- 能查内网地址吗？
- 不能。工具会校验实际连接的 IP，127.0.0.1、10/172.16/192.168、169.254（云元数据）一律拒绝——否则它就成了内网探测工具。
相关工具