Какие заголовки важны
- Strict-Transport-Security — запрещает браузеру открывать сайт по HTTP.
- Content-Security-Policy — перечисляет, откуда можно загружать скрипты и стили: главная защита от XSS.
- X-Frame-Options / frame-ancestors — не дают встроить сайт в чужой iframe.
- X-Content-Type-Options, Referrer-Policy, Permissions-Policy — простые заголовки, которые закрывают целые классы атак и утечек.
Как добавить заголовки
nginx: add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always; и аналогично для остальных. Apache: Header always set X-Content-Type-Options "nosniff". Cloudflare: Rules → Transform Rules → Modify Response Header.
Сертификат и DNS
Срок и цепочку сертификата покажет проверка SSL, записи домена и CAA — проверка DNS.