Читаем HTTP-заголовки

Сначала — суть

Заголовки описывают ответ сервера. Content-Type указывает формат данных, Cache-Control управляет кешированием, Location используется при перенаправлении. Они не заменяют проверку самого содержимого.

Как это устроено

HSTS сообщает браузеру, что сайт следует открывать через HTTPS. Content-Security-Policy ограничивает источники ресурсов. X-Content-Type-Options: nosniff отключает некоторые попытки браузера угадать тип содержимого.

В работе

Анализатор работает с текстом, который вы вставили. Он не обращается к указанному серверу и не выполняет содержимое заголовков. Отсутствующий заголовок — повод проверить требования конкретного приложения, а не автоматический вывод об уязвимости.

Технический источник ↗