网站安全

为什么要用curl验证HSTS 配置了HSTS（HTTP Strict Transport Security）之后，最关键的一步就是验证它是否真的生效。很多人配完Nginx就直接完事了，结果浏览器访问时发现Strict-Transport-Security响应头根本没出现，或者max-age值不对，等于白配。用curl验证是最直接、最可靠的方式——不依赖浏览器缓存，不受HSTS preload列表干扰，能看到服务器返回的原始响应头。 命令一：基础检查——直接看响应头 最简单...

为什么要用PowerShell做安全头检测 在Linux服务器上，大家习惯用curl检查网站的Strict-Transport-Security、Content-Security-Policy、X-Frame-Options等安全响应头。但到了Windows环境，情况就变了： Windows自带的curl其实是Invoke-WebRequest的别名，行为跟Linux curl完全不同 PowerShell 5.x 的Invoke-WebRequest输出格式跟cu...

为什么需要把安全响应头导出成 CSV 报告 用 PowerShell 检测网站安全头，很多人只停留在「能看到结果」这一步。但真正做运维、做等保测评、做周报月报，你得把结果变成一份可存档、可对比、可发送给上级的 CSV 报告。 这篇文章讲清楚：怎么用 PowerShell 一键扫描多个域名的安全响应头，然后把结果导出成标准化 CSV 报告，包含评分、每项头的状态、建议修复措施。 一、先搞定：Invoke-WebRequest 获取安全响应头 PowerShell 原生没有 c...

HSTS preload 的 max-age 要求到底是什么？ HSTS（HTTP Strict Transport Security）preload 是浏览器内置的一个机制，让支持 HTTPS 的网站在用户第一次访问时就能强制走 HTTPS，而不需要先经历一次 HTTP 到 HTTPS 的跳转。 在提交到 hstspreload.org 时，官方对 Strict-Transport-Security 响应头有一个硬性要求： max-age 必须 ≥ 31536000（1年）...

引言：为什么不能直接上31536000？ HSTS（HTTP Strict Transport Security）的 max-age 参数决定了浏览器记住"只走HTTPS"指令的时间长度。很多教程一上来就让你设 max-age=31536000（一年），但这其实是个坑。 如果你配错了、或者证书部署有问题，用户一年内都无法访问你的HTTP版本——哪怕你后来修好了。所以正确的做法是两个阶段：先用小值测试，确认无误后再切换到正式值。 HSTS max-age 基础回顾 HSTS响...

为什么需要PowerShell替代curl检查安全响应头 在Linux/macOS环境下，我们习惯用curl命令快速检查网站的HTTP响应头，特别是安全响应头（Security Headers）。但在Windows环境下，或者当你需要编写跨平台脚本时，PowerShell提供了一个强大的替代方案。本文将详细介绍如何使用PowerShell替代curl检查安全响应头，并给出可直接使用的脚本。 虽然Windows 10/11已经内置了curl（实际上是Invoke-WebReq...

鍓嶈█鍦ㄧ綉绔欏紑鍙戝拰杩愮淮杩囩▼涓紝HSTS锛圚TTP Strict Transport Security锛夋槸涓€涓潪甯告湁鏁堢殑瀹夊叏绛栫暐锛屽畠鑳藉己鍒舵祻瑙堝櫒浣跨敤HTTPS杩炴帴缃戠珯銆備絾鏈夋椂鍊欙紝鎴戜滑姝ｅ湪娴嬭瘯鐜鎴栬€呴渶瑕佷复鏃惰闂瓾TTP鐗堟湰鏃讹紝HSTS缂撳瓨浼氭垚涓烘嫤璺檸銆備粖澶╁氨褰诲簳璁叉竻妤欳hrome娴忚鍣ㄤ腑濡備綍娓呴櫎HSTS缂撳瓨锛岀壒鍒槸閫氳繃chrome://net-internals椤甸潰鐨勬柟娉曘€?...

目录 为什么需要查看HTTPS证书信息 方法一：openssl直接查看证书详情（最全面） 方法二：curl -v 查看握手过程中的证书信息 方法三：curl查看证书有效期一键脚本 实战：批量检测多个域名证书到期时间 常见问题排查 为什么需要查看HTTPS证书信息 运维过程中，查看HTTPS证书信息是高频操作。常见场景包括：证书快到期了需要续期、排查HTTPS访问异常、确认证书是否覆盖了正确域名（SAN字段）、验证证书链是否完整。 很多人习惯点浏览器地址栏的小锁图标查看，...

前言：为什么你需要用curl查看SSL证书详情 运维工作中，经常需要快速确认一个网站用了什么证书、证书由谁颁发、什么时候过期、证书链是否完整。这些信息浏览器能看，但用命令行来查效率更高——可以写进脚本、集成到自动化巡检流程里，也方便在服务器上直接操作不依赖图形界面。 curl是Linux/Unix系统标配的命令行工具，Windows 10及以上也内置了PowerShell版本的curl。本文详细介绍如何用curl及相关命令查看SSL证书的完整信息，涵盖证书链解析、域名匹配验证...

前言：为什么Windows用户需要PowerShell替代curl 检查网站安全响应头是运维和开发人员的日常工作。大多数教程都在教用 curl -I 来查看HTTP响应头，但如果你在Windows环境下工作，可能并没有安装curl。好消息是，PowerShell自带的 Invoke-WebRequest 和 Invoke-RestMethod 完全可以胜任这项任务，而且还能写出更强大的自动化检测流程。 本文将手把手教你用PowerShell原生命令替代curl，检查网站的安全...