De ce contează antetele
Un site poate fi construit corect și tot să lase deschise uși care nu au legătură cu codul lui. Antetele de securitate sunt instrucțiuni trimise browserului împreună cu fiecare pagină: ce are voie să încarce, de unde, și ce să refuze.
HSTS spune browserului să nu mai încerce niciodată varianta nesecurizată. Fără el, prima vizită trece prin http, iar cine controlează rețeaua — un WiFi public, de exemplu — poate interveni înainte de redirecționare.
X-Frame-Options împiedică afișarea site-ului tău într-un cadru pe alt site. E apărarea împotriva tehnicii prin care un atacator suprapune butoane invizibile peste pagina ta reală.
Content-Security-Policy este cea mai puternică, dar și cea mai pretențioasă: limitează de unde se pot încărca scripturi. Pe un WordPress cu multe pluginuri, o politică strictă strică jumătate din site dacă e pusă fără testare.
Ce nu verifică unealta
Nu scanez vulnerabilități, nu testez formularele și nu încerc să sparg nimic. Încarc pagina principală o dată, exact ca un vizitator obișnuit, și citesc antetele răspunsului. Nu las urme în afara unei linii normale în jurnalul serverului tău.
Nu verific configurația protocoalelor TLS și a cifrurilor. Pentru certificat ai verificatorul SSL.
Un scor mic nu înseamnă că ești spart
Majoritatea site-urilor din România au un scor sub 40, inclusiv site-uri de instituții. Absența antetelor nu înseamnă că cineva ți-a intrat în site; înseamnă că lipsesc niște straturi de protecție ieftine, care ar opri categorii întregi de atacuri automate.
Ordinea rezonabilă de adăugare: mai întâi redirecționarea către HTTPS și X-Content-Type-Options, apoi X-Frame-Options și Referrer-Policy, apoi HSTS, și abia la final CSP, cu testare atentă.