Что такое PKCE
PKCE (Proof Key for Code Exchange, RFC 7636) — расширение OAuth 2.0, защищающее authorization code от кражи в public clients (SPA, mobile apps без secure storage). Клиент генерирует random code_verifier → отправляет hash (code_challenge) в authorize URL → при обмене code на token отправляет обратно original verifier. Без PKCE attacker, перехвативший code, может получить access_token.
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- code_verifier: random 43-128 chars string (unique per auth attempt)
- code_challenge: base64url(sha256(code_verifier))
- code_challenge_method: S256 (only supported)
- Authorize URL: добавляет code_challenge + method
- Token exchange: отправляет code_verifier вместо client_secret
Пример
code_verifier = base64url(random(32)) // "dBjftJeZ..."
code_challenge = base64url(sha256(code_verifier))
auth_url = authorize?client_id=X&code_challenge=CC&code_challenge_method=S256Смежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Нужен ли PKCE для confidential clients (server-side)?
Рекомендуется (OAuth 2.1 draft), но не обязателен. Для public clients (SPA, mobile) — mandatory.
Поддерживают ли все providers?
Все major: Google, GitHub, Microsoft, Auth0, Okta, Keycloak. Yandex OAuth — с 2022.
Plain vs S256 method?
Только S256 (SHA-256) в production. Plain (verifier=challenge) legacy и небезопасный.