Что такое OAuth 2.0
OAuth 2.0 (RFC 6749) — стандарт делегированной авторизации: приложение А получает право действовать от имени пользователя в сервисе Б без передачи пароля. Не путать с аутентификацией — для "войти через Google" используют OpenID Connect поверх OAuth 2.0. Основные flow: Authorization Code (веб), PKCE (mobile/SPA), Client Credentials (сервис-сервис), Device (TV, CLI).
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- Authorization Code: redirect → code → обмен на access_token на сервере
- PKCE (Proof Key for Code Exchange): для public clients, защита от кражи кода
- Client Credentials: сервис → сервис, без пользователя, через client_id + client_secret
- Device Code: для устройств без браузера — пользователь подтверждает на телефоне
- Scopes: ограничивают что токен может (read:email vs write:all)
Пример
Authorization: Bearer eyJhbGciOi...Смежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
OAuth 2.0 vs OpenID Connect?
OAuth 2.0 — авторизация (что можно). OpenID Connect — слой поверх для аутентификации (кто пользователь) через id_token (JWT).
Implicit flow ещё используется?
Нет, с 2019 OAuth 2.1 draft и большинство рекомендаций — deprecated. Замена: Authorization Code + PKCE.
Access token — это JWT?
Может быть, но не обязано. OAuth спецификация не требует формата. Многие провайдеры (Google, Auth0) возвращают JWT для удобства клиента.