Question 1

为什么有些网站的 Headers 查不到？

Accepted Answer

由于浏览器的同源策略（CORS），直接从前端请求其他域名的资源时，如果目标服务器没有返回 Access-Control-Allow-Origin 等 CORS 头，浏览器会阻止读取响应头。这是浏览器的安全机制，不是工具的问题。可以通过服务端代理或 CORS Anywhere 等中间服务来解决。

Question 2

什么是 HSTS，为什么重要？

Accepted Answer

HSTS（HTTP Strict Transport Security）是一个安全头部，告诉浏览器在指定时间内只能通过 HTTPS 访问该网站。它能防止 SSL 剥离攻击（中间人将 HTTPS 降级为 HTTP）。建议设置 max-age 至少为 31536000（一年）。

Question 3

Content-Security-Policy (CSP) 怎么配置？

Accepted Answer

CSP 通过白名单机制限制页面可以加载的资源来源。例如 "default-src 'self'; script-src 'self' https://cdn.example.com" 表示默认只加载同源资源，脚本只允许同源和指定 CDN。配置 CSP 可以有效防止 XSS 攻击、数据注入和恶意脚本执行。

Question 4

安全头部分数是什么含义？

Accepted Answer

安全头部分数是根据 HSTS、CSP、X-Frame-Options、X-Content-Type-Options、X-XSS-Protection、Referrer-Policy、Permissions-Policy 这 7 个关键安全头部的配置情况综合评估的。80 分以上表示配置较好，50-79 分表示有改进空间，50 分以下建议尽快完善安全头部配置。

HTTP Headers 查看工具

HTTP Headers 查看工具使用说明

主要功能

使用场景

常见问题

相关工具