返回指南

安全头部：搜索引擎和用户都能看到的响应头部

HSTS、CSP、X-Frame-Options 以及其他。每个响应头部防护什么，为什么搜索可见性取决于它，以及如何在一个地方添加它们.

安全头部是一组小型响应头指令，决定浏览器在你页面上允许什么。添加它们不花钱，适用于全站，并且对任何检查响应的人可见，包括评估你网站可信度的人。它们的价值是具体的。HSTS 去除了可被降级攻击利用的明文首请求。Content-Security-Policy 限制哪些来源可以执行脚本，阻止注入脚本而不是让它读取它所在的每个页面。X-Frame-Options 和 frame-ancestors 阻止你的页面被一个覆盖自己控制的站点框架。X-Content-Type-Options 阻止浏览器猜测上传文件是可执行 JavaScript。Referrer-Policy 和 Permissions-Policy 控制页面离开的内容：哪些 URL 会在 Referer 头中传递，哪些设备 API 嵌入内容可能请求。搜索连接是间接且真实的。通过注入脚本被攻陷的网站开始提供非你所有的页面，搜索引擎会迅速作出反应，首先在结果中发出警告，然后移除。恢复所需时间远长于配置所需时间。这些检查读取你主页响应的头部。大多数网站可以在边缘一次性更改添加所有这些。

缺少 HSTS 头部

为什么重要

安全响应头保护访问者免受脚本注入和点击劫持,它们的缺失对任何检查网站的人都可见。

我们如何检查

检查了主页响应中的 Strict-Transport-Security 头部.

如何修复

添加 Strict-Transport-Security 头：'max-age=63072000; includeSubDomains'。原因：HSTS 防止降级攻击，阻止攻击者强制您的站点通过不安全的 HTTP 加载，并且是 HSTS 预加载列表所必需的.

缺少 CSP 头部

为什么重要

没有 Content-Security-Policy,注入的脚本将以完全权限在页面上运行,影响每一位访问者。

我们如何检查

检查了主页响应中的 Content-Security-Policy 头部.

如何修复

添加 Content-Security-Policy 头以限制脚本和资源加载来源。原因：CSP 是您对抗 XSS 攻击的主要防御手段——它阻止恶意脚本即使被注入到页面中也无法执行.

缺少 X-Frame-Options

为什么重要

没有框架保护,其他网站可以隐形嵌入您的页面,诱使访问者点击他们看不到的内容。

我们如何检查

检查了 X-Frame-Options 头部以防止点击劫持.

如何修复

添加 'X-Frame-Options: DENY' 或 'SAMEORIGIN' 以防止点击劫持。原因：没有此设置，攻击者可以将您的站点嵌入隐藏的 iframe 并诱导用户点击他们看不见的按钮，可能导致账户或操作被泄露.

缺少 X-Content-Type-Options

我们如何检查

检查了 X-Content-Type-Options 头部以防止 MIME sniffing.

如何修复

添加 'X-Content-Type-Options: nosniff' 以防止 MIME 类型嗅探。原因：浏览器可能错误猜测文件内容类型并将其作为脚本执行，创建上传文件和意外响应的注入向量.

缺少 Referrer-Policy

为什么重要

没有 Referrer-Policy,完整 URL(包括敏感参数)可能泄露给页面链接的第三方网站。

我们如何检查

检查了 Referrer-Policy 头部以控制隐私.

如何修复

添加 Referrer-Policy 头（例如，'strict-origin-when-cross-origin'）。原因：没有它，包含敏感参数或用户标识符的完整 URL 可能通过 Referer 头泄露给第三方站点.

缺少 Permissions-Policy

为什么重要

没有 Permissions-Policy,第三方脚本可以请求摄像头、麦克风和位置等强大的浏览器功能。

我们如何检查

检查了 Permissions-Policy 头部以限制功能.

如何修复

添加 Permissions-Policy 头部以限制浏览器功能访问。原因：这可防止恶意或受损的第三方脚本在未获得明确许可的情况下访问摄像头、麦克风、地理位置和剪贴板等敏感 API.

未配置跨源隔离

我们如何检查

检查了 Cross-Origin-Opener-Policy 与 Cross-Origin-Embedder-Policy 头部.

如何修复

仅当网站需要高级的跨源隔离浏览器能力时才配置 COOP/COEP。这些可选头部不是 SEO 要求。

查看您的网站排名

获取一份免费的 AI 驱动的 SEO 报告，包含可操作的发现和优先修复建议，帮助提升您的网站。

不需要注册。.