تحليل أمن الويب

ما نتحقّق منه

• التشفير وHSTS

  هل يستجيب الموقع عبر HTTPS، وهل يفرض على المتصفّح ألّا يحاول أبدًا اتصالًا غير مشفّر؟

• سياسة أمن المحتوى

  هل نُشرت سياسة CSP، وهل تبقى فعّالة (دون `unsafe-inline` ولا `unsafe-eval`)؟

• الاحتيال بالنقر ونوع MIME

  هل يمكن تأطير موقعكم داخل نطاق طرف ثالث، وهل يحترم المتصفّح أنواع الملفات المُعلَنة؟

• ملفات تعريف الارتباط

  هل تحمل ملفات تعريف الارتباط الموضوعة في الصفحة الرئيسية خاصّيتَي `Secure` و`HttpOnly`؟

• سياسة المُحيل والأذونات

  هل تتسرّب عناوينكم الداخلية إلى مواقع الأطراف الثالثة، وهل قُيّدت قدرات المتصفّح الحسّاسة؟

• الكشف عن الإصدار

  هل تُعلن ترويساتكم الإصدار الدقيق لبرنامج الخادم، وهو ما يوجّه هجومًا آليًا؟

تتعلّق هذه الفحوص بالإعداد العمومي للخادم. وهي لا تغطّي منطق التطبيق ولا المصادقة ولا الاعتماديات: التدقيق الكامل يبقى مسارًا مستقلًّا.