Работает локально в браузере. Введённые данные не отправляются на наши серверы.
Здесь появится результат
Советы по security headers
Вставляйте заголовки с реального production URL.
CSP нужно настраивать: нет заголовка — находка, сломанный CSP — тоже.
HSTS помогает только по HTTPS после первого успешного визита.
Сравнивайте staging и production — конфиги часто расходятся.
Чините заголовки в сервере/CDN, а не только в документации.
Разбор вставленных security-заголовков
Обработка выполняется в браузере — введённые данные не загружаются на наши серверы.
Вставьте блок из `curl -I` или DevTools: CSP, HSTS, X-Frame-Options. Сайт инструмент сам не качает.
Нет заголовка во вставке — вы его не скопировали или сервер не прислал. Это не скан интернета.
Как разобрать заголовки
Скопируйте заголовки живого ответа
Строка статуса и блок заголовков. HTML-тело здесь шум.
Вставьте и смотрите
HSTS на HTTPS, CSP без сплошного `unsafe-inline`, защита от clickjacking.
Чиньте на сервере
Страница только читает. Заголовки — в nginx, приложении или CDN.
FAQ: security headers
Вы обходите мой домен?
Нет. URL не запрашивается. Живой съём — своим curl.
Вставка загружается?
Нет. Разбор локальный.
Зелёный = прод безопасен?
Значит, этот набор заголовков выглядит разумно. Cookie, TLS и баги приложения — снаружи.