安全响应头

用 Nginx 配置安全响应头的时候，很多人会遇到 add_header 指令明明写了，浏览器却看不到对应头部的奇怪现象。归根结底，大多数情况下是 always 参数没加、配置位置写错了，或者和代理场景产生了冲突。今天这篇文章把 always 参数不生效的 5 个最常见原因逐一拆解，并给出对应的修复方案。 一、always参数到底是什么 Nginx 的 add_header 指令默认只在请求返回正常状态码（2xx、3xx）时才会把响应头加进去。如果你想让错误页面（4xx、...

为什么要用curl检查HSTS max-age值 HSTS（HTTP Strict Transport Security）是网站安全的重要防线，而max-age值决定了浏览器在多长时间内强制使用HTTPS访问你的站点。max-age设得太短，安全效果打折；设得太长，配置出错后难以撤销。用curl检查Strict-Transport-Security头的max-age值，是最直接、最快速的验证手段——无需打开浏览器，一条命令就能确认HSTS是否正确配置。 一、curl -sI...

为什么要用curl验证HSTS 配置了HSTS（HTTP Strict Transport Security）之后，最关键的一步就是验证它是否真的生效。很多人配完Nginx就直接完事了，结果浏览器访问时发现Strict-Transport-Security响应头根本没出现，或者max-age值不对，等于白配。用curl验证是最直接、最可靠的方式——不依赖浏览器缓存，不受HSTS preload列表干扰，能看到服务器返回的原始响应头。 命令一：基础检查——直接看响应头 最简单...

为什么要用PowerShell做安全头检测 在Linux服务器上，大家习惯用curl检查网站的Strict-Transport-Security、Content-Security-Policy、X-Frame-Options等安全响应头。但到了Windows环境，情况就变了： Windows自带的curl其实是Invoke-WebRequest的别名，行为跟Linux curl完全不同 PowerShell 5.x 的Invoke-WebRequest输出格式跟cu...

HSTS（HTTP Strict Transport Security）是保护网站 HTTPS 连接的重要安全机制。配置好 HSTS 响应头后，如何快速验证全站域名是否正确返回了该头部？手动逐个访问不现实，curl 批量检测才是高效方案。 本文分享 5 个实战脚本，从最简单的单域名检查到多域名并行检测，覆盖 Shell 和 PowerShell 两大平台，帮你把 HSTS 安全巡检彻底自动化。 一、为什么需要批量检测 HSTS 响应头 在实际运维中，HSTS 配置可能因为以...

HSTS max-age 到底是什么 HSTS（HTTP Strict Transport Security）是网站安全的重要一环，而 max-age 参数则是整个策略的核心——设错了，要么浏览器根本不记，要么记了没法改。本文整理了6个 Nginx HSTS max-age 设置时最常见的错误，逐一给出排查方法和正确配置。 max-age 告诉浏览器：在多少秒内，访问这个域名时必须使用 HTTPS。比如 max-age=31536000 就是一年。这个参数有几个关键点： 单...

为什么需要把安全响应头导出成 CSV 报告 用 PowerShell 检测网站安全头，很多人只停留在「能看到结果」这一步。但真正做运维、做等保测评、做周报月报，你得把结果变成一份可存档、可对比、可发送给上级的 CSV 报告。 这篇文章讲清楚：怎么用 PowerShell 一键扫描多个域名的安全响应头，然后把结果导出成标准化 CSV 报告，包含评分、每项头的状态、建议修复措施。 一、先搞定：Invoke-WebRequest 获取安全响应头 PowerShell 原生没有 c...

前言：为什么 max-age 不能一上来就设两年 HSTS（HTTP Strict Transport Security）的 max-age 参数决定浏览器记住"强制 HTTPS"指令的时间。设短了，安全效果打折扣；设长了，一旦证书或 HTTPS 配置出问题，用户在有效期内无法访问你的网站。 很多教程上来就让你直接设 max-age=63072000（两年），这是 HSTS preload 的提交要求，不是你第一天就该用的值。 正确的做法：分阶段切换，从短到长，每一步都验证无...

HSTS preload 的 max-age 要求到底是什么？ HSTS（HTTP Strict Transport Security）preload 是浏览器内置的一个机制，让支持 HTTPS 的网站在用户第一次访问时就能强制走 HTTPS，而不需要先经历一次 HTTP 到 HTTPS 的跳转。 在提交到 hstspreload.org 时，官方对 Strict-Transport-Security 响应头有一个硬性要求： max-age 必须 ≥ 31536000（1年）...

先说结论：浏览器什么时候开始"记住"HSTS？ 很多教程只告诉你"配置HSTS"，但没说清楚浏览器到底什么时候开始强制执行HTTPS。这里直接给结论： 浏览器在第一次收到Strict-Transport-Security响应头之后，就会立即将域名加入HSTS列表，不需要等待max-age秒。 max-age的含义是：记住这个策略的有效期有多长，而不是"多少秒之后才开始生效"。 举个例子：你配置max-age=31536000（一年），用户第一次访问你的HTTPS网站，响应...