Что такое Zero Trust
Zero Trust — модель безопасности, заменяющая классический perimeter-подход ("внутри сети = доверенный"). Принципы: никакой пользователь, устройство или сервис не получают доверия по умолчанию; каждый запрос аутентифицирован и авторизован заново; доступ минимально необходимый (least privilege). Яркий пример — BeyondCorp Google (2009-2014).
Ниже: подробности, пример, смежные термины, FAQ.
Подробности
- Identity-first: каждый запрос проходит через IdP с MFA
- Device posture: устройство проверяется на актуальность OS, patches, disk encryption
- Continuous verification: не "один раз залогинился — 8 часов в сессии", а per-request
- Micro-segmentation: сеть поделена на мелкие зоны, доступ разрешается явно
- Заменяет VPN — для Zero Trust Network Access (ZTNA): Cloudflare Access, Tailscale, Twingate
Пример
Cloudflare Access policy: user in "engineering" group + Okta MFA + managed device → approveСмежные термины
Почему нам доверяют
Как это работает
Введите URL сайта
Анализ заголовков безопасности
Получите оценку A–F
Что проверяет анализ безопасности?
Инструмент проверяет HTTP-заголовки безопасности, конфигурацию SSL/TLS, утечки серверной информации и защиту от распространённых атак (XSS, clickjacking, MIMEsniffing). Оценка от A до F показывает общий уровень защиты.
Анализ заголовков
Проверка Content-Security-Policy, HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy и других.
Проверка SSL
Версия TLS, срок сертификата, цепочка доверия, поддержка HSTS.
Обнаружение утечек
Поиск раскрытых серверных версий, debug-режимов, открытых конфигов и директорий.
Отчёт с рекомендациями
Детальный отчёт с объяснением каждой проблемы и конкретными шагами для исправления.
Кому это нужно
Специалисты по безопасности
аудит HTTP-заголовков
DevOps
проверка конфигурации
Разработчики
CSP и HSTS настройка
Аудиторы
соответствие стандартам
Частые ошибки
Strict-Transport-Security.Server: Apache/2.4.52 помогает атакующим подобрать эксплойт. Скройте версию.DENY или SAMEORIGIN.nosniff браузер может интерпретировать файлы неправильно (MIME sniffing).Лучшие практики
Content-Security-Policy-Report-Only, мониторьте нарушения, затем включите.Server, X-Powered-By, X-AspNet-Version из ответов.Получите больше с бесплатным аккаунтом
История security-проверок и мониторинг HTTP-заголовков безопасности.
Зарегистрироваться (FREE)Больше по теме
Гайды
Часто задаваемые вопросы
Zero Trust vs VPN?
VPN даёт доступ ко всей внутренней сети. Zero Trust — доступ только к конкретным приложениям с per-request проверкой. ZT строже.
Кто ввёл термин?
John Kindervag (Forrester, 2010). Google независимо реализовал концепцию в BeyondCorp с 2011.
Обязательно ли покупать vendor?
Нет. Принципы можно реализовать на комбинации IdP (Okta/Google) + ALB/API Gateway + RBAC в приложениях.