Что измеряется
Аудит ищет CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy и защиту от встраивания.
Доверие и структурированные данные
Защитные HTTP-заголовки
Проверка фиксирует базовые заголовки, которые ограничивают опасные способы загрузки и интерпретации страницы.
Критерий успешной проверки
Production-ответы содержат осмысленный набор заголовков, совместимый с фактическими ресурсами и функциями сайта.
Что исправлять
Добавляйте политики на уровне reverse proxy или приложения и проверяйте их в report-only перед строгим включением.
Граница автоматического вывода
Наличие заголовка не доказывает корректность его значения; слишком широкая политика может создавать ложное чувство защиты.
Основание проверки