Incolla i response header di una pagina web (cURL, browser DevTools, web archive) e ottieni un audit security-first dei controlli di hardening: Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, Referrer-Policy, Permissions-Policy, COOP/COEP/CORP, anti-fingerprinting. Ogni finding è classificato per severità e mappato su NIS2 art. 24, OWASP Top 10, AGID Linee Guida sicurezza sviluppo software.
Da terminale: curl -sI https://www.tuosito.it. Da browser: DevTools (F12) > Network > clicca la prima request del documento > pannello Headers > sezione Response Headers > copia. Da web archive: anche solo le righe rilevanti vanno bene.
Una header per riga, formato standard Header-Name: value. Sono accettati anche output cURL grezzi (la prima riga HTTP/2 200 è filtrata automaticamente). Case-insensitive sui nomi degli header.
Il tool controlla 12 header rilevanti per la sicurezza, ognuno con regole specifiche (la CSP non deve lasciare script inline o sorgenti aperte a qualunque host, HSTS deve avere max-age di almeno 180 giorni, X-Frame-Options deve essere DENY o SAMEORIGIN, ecc). Se incolli l'output di curl -IL con più risposte, valuta solo l'ultima, quella della pagina finale. Output: lista findings classificati per severità con riferimenti normativi e remediation suggerita.
Il bottone Copia produce un riepilogo testuale incollabile in mail interna, ticket Jira, documento di audit. Per l'export PDF usa la funzione 'Stampa' del browser (la pagina ha CSS print-ottimizzato che nasconde nav e CTA).
Defense in depth. I response header HTTP sono il livello più sottile e più facile da configurare delle difese applicative: si emettono dal web server o dal middleware applicativo, costano zero performance, hanno impatto immediato. CSP da sola previene la grande maggioranza degli XSS reflected e DOM-based, HSTS chiude la finestra di downgrade attack su TLS, X-Frame-Options impedisce il clickjacking, Permissions-Policy chiude le API browser non utilizzate (camera, microfono, geolocalizzazione, USB) togliendo superfici di attacco.
Cosa controlla davvero questo tool. 12 header, da quelli essenziali (CSP, HSTS, X-Frame-Options, X-Content-Type-Options) a quelli moderni (COOP/COEP/CORP per cross-origin isolation), con regole specifiche per ognuno: directive che devono essere presenti, sorgenti che NON devono esserci (es. CSP unsafe-inline, *, https:), formato corretto del valore, valori minimi (es. HSTS max-age >= 15552000 = 180 giorni, la soglia del Mozilla HTTP Observatory), interazione fra header (es. frame-ancestors della CSP accettato al posto di X-Frame-Options, 'unsafe-inline' ignorato dal browser quando la stessa direttiva ha un nonce o un hash). Cache-Control non viene valutato: dagli header non si capisce se una risposta è sensibile.
Mapping normativo italiano + europeo. Ogni finding cita il riferimento applicabile: NIS2 D.Lgs. 138/2024 art. 24 c.2 lett. e (sicurezza acquisizione/sviluppo/manutenzione), AGID Linee Guida Sicurezza dello Sviluppo del Software 43/2026, OWASP Top 10 e ASVS, Mozilla Web Security Cheatsheet. Per i tool che servono aziende in scope NIS2 questo è il punto di partenza dell'audit applicativo.
Privacy by design. Niente upload, niente fetch remoto. L'analisi è interamente: il browser parsa i tuoi header, li valuta contro le regole locali, mostra i findings. Il sito di cui stai facendo audit non viene mai contattato dal nostro server. Comodo per audit di sistemi interni, ambienti di staging non accessibili dall'esterno, intranet aziendali.
| Header | Regola | Severità |
|---|---|---|
| Content-Security-Policy | Presente, script-src (o default-src) senza unsafe-inline, unsafe-eval e sorgenti aperte (*, http:, https:, data:) | Alta-Critica |
| Strict-Transport-Security | Presente, max-age >= 180 giorni (0 disattiva HSTS), includeSubDomains | Alta |
| X-Frame-Options | DENY o SAMEORIGIN (oppure CSP frame-ancestors) | Alta |
| X-Content-Type-Options | nosniff | Media |
| Referrer-Policy | Valore riconosciuto (in una lista vale l'ultimo), no unsafe-url | Media-Alta |
| Permissions-Policy | Presente (quali API disattivare dipende dal sito: il tool ne verifica la presenza) | Media |
| Cross-Origin-Opener-Policy | same-origin o same-origin-allow-popups; unsafe-none equivale ad assenza | Media |
| Cross-Origin-Embedder-Policy | require-corp o credentialless, solo se serve la cross-origin isolation (l'assenza non è un finding) | Info |
| Cross-Origin-Resource-Policy | same-origin o same-site | Bassa |
| Server / X-Powered-By | Non esporre versione (info disclosure) | Info |
| X-XSS-Protection | Assente oppure 0 (raccomandato da OWASP); il valore 1 va rimosso | Bassa |
Termini tecnici usati in questa pagina, spiegati in due righe.
max-age secondi. Con preload il dominio entra nella lista di Chrome/Firefox/Safari (sottomissione manuale via hstspreload.org). curl -sI https://target.it > out.txt, copia out.txt, incolla nel tool.no-store. Content-Type viene controllato solo attraverso X-Content-Type-Options: nosniff. Per audit completi di Content-Type, Vary, Accept-Ranges servono tool dedicati di performance/CDN debugging, non security audit.X-XSS-Protection: 0, che spegne il filtro dove esiste ancora: il tool considera corretti sia il valore 0 sia l'assenza dell'header, e segnala solo il valore 1. La difesa XSS moderna è Content-Security-Policy con script-src stretto, niente unsafe-inline, idealmente con nonce o hash sui script inline necessari.'unsafe-inline' più 'nonce-RANDOM': il browser accetta inline script con nonce specifico, e dato il nonce ad attaccante richiede compromissione già avvenuta lato server. Compromise pragmatico. (3) CSP con 'unsafe-hashes' per gli inline event handlers (Level 3, 2024+). Browser support più ridotto ma migliora con il tempo.nginx/1.18.0 Debian buster non ha le stesse vuln di nginx/1.18.0 upstream, ma l'attaccante automatizzato non lo sa: vede 1.18.0 e prova exploit. Costo di nascondere: server_tokens off in nginx, due righe. Beneficio: marginale ma gratuito. Sotto NIS2 art. 24 (igiene cyber) è ragionevole farlo.window.opener. same-origin isola la tua window completamente, Così che gli script di altri origin non possano leggere il tuo state. Costo: zero impatto su utente, marginale su feature richieste.Permissions-Policy: camera=(), microphone=(), geolocation=() = vieta tutto. geolocation=(self) = solo origine corrente.max-age=63072000; includeSubDomains; preload su tutti i sotto-domini. (2) Verifica che funzioni con curl -I e con il check di hstspreload.org. (3) Sottoponi il dominio sul portale Chromium hstspreload.org. Inclusione: settimane-mesi. Rimozione: difficile, quindi siano sicuri prima di sottoporre. Impatto: tutti i subdomain HTTP non funzionano più senza certificato.Header set X-Frame-Options DENY, Header set Content-Security-Policy "...", in .htaccess o config virtual host. Nginx: add_header X-Frame-Options DENY always; nel server block. PHP middleware (Symfony, Laravel, Slim): response->header('X-Frame-Options', 'DENY') oppure middleware globale dedicato. Per CSP con nonce: il middleware genera nonce per request, lo emette nell'header, lo inietta nei tag <script nonce="...">.Leggi, tabelle ufficiali e implementazioni di riferimento su cui è stata verificata la logica del tool.
Questo tool è un linter di triage. Per audit professionali (target in scope dichiarato, threat modeling, deploy graduale, monitoring CSP report-uri, hardening completo Apache/Nginx) lavoro su VPS unmanaged dei principali provider europei e su infrastrutture aziendali on-prem.
Hardening HTTP professionaleWizard di 7 domande, 2 minuti, gratuito. Output: range di giorni-uomo, range di prezzo orientativo e raccomandazione di ingaggio. Tariffa di riferimento 400 euro al giorno. Pensato per progetti backend custom, integrazioni, audit di sicurezza o automazione AI.
Calcola il preventivo