रिपोर्ट असल में कैसी दिखती है

पहले क्या ठीक करें

ये तीन संख्याएँ इस रिपोर्ट में कहीं भी मिली समस्याओं को गिनती हैं। ऊपर की पट्टी कुछ और गिनती है: एक निश्चित सूची में से कितनी जाँचें चलीं और उनमें से कितनी साफ़ निकलीं। जो जाँच साफ़ नहीं निकली, वह यहाँ एक से अधिक समस्याएँ खड़ी कर सकती है, और नीचे के कई खंड उस निश्चित सूची में हैं ही नहीं; इसलिए दोनों योगों का मेल खाना अपेक्षित नहीं है।

• 6 गंभीर
• 6 चिह्नित
• 16 समस्याएँ

1. गंभीर:button-nameयह axe की रिपोर्ट की हुई एक विफलता है, जो एक automated accessibility checker है और rendered पेज को WCAG दिशानिर्देशों के हिसाब से जाँचता है। हर एक का मतलब है कि screen reader, अकेले keyboard, या कम दृष्टि के साथ पेज इस्तेमाल करने वाले कुछ लोग यहाँ किसी खास रुकावट से टकराते हैं, और impact वाला शब्द axe की अपनी grading है: critical का आम तौर पर मतलब है कि व्यक्ति काम बिल्कुल पूरा नहीं कर पाता, minor का मतलब है थोड़ी दिक्कत। Automated जाँचें असल यूज़र्स के लिए पेज में जो गलत है उसका सिर्फ़ एक हिस्सा ही पकड़ती हैं, इसलिए इन्हें छत नहीं, फ़र्श समझें। इन्हें पहले ठीक करना सही रहता है क्योंकि खराब elements एक एक करके सूचीबद्ध होते हैं, जिससे इनमें से ज़्यादातर पूरे redesign के बजाय एक टारगेटेड बदलाव भर रह जाते हैं।
2. गंभीर:labelयह axe की रिपोर्ट की हुई एक विफलता है, जो एक automated accessibility checker है और rendered पेज को WCAG दिशानिर्देशों के हिसाब से जाँचता है। हर एक का मतलब है कि screen reader, अकेले keyboard, या कम दृष्टि के साथ पेज इस्तेमाल करने वाले कुछ लोग यहाँ किसी खास रुकावट से टकराते हैं, और impact वाला शब्द axe की अपनी grading है: critical का आम तौर पर मतलब है कि व्यक्ति काम बिल्कुल पूरा नहीं कर पाता, minor का मतलब है थोड़ी दिक्कत। Automated जाँचें असल यूज़र्स के लिए पेज में जो गलत है उसका सिर्फ़ एक हिस्सा ही पकड़ती हैं, इसलिए इन्हें छत नहीं, फ़र्श समझें। इन्हें पहले ठीक करना सही रहता है क्योंकि खराब elements एक एक करके सूचीबद्ध होते हैं, जिससे इनमें से ज़्यादातर पूरे redesign के बजाय एक टारगेटेड बदलाव भर रह जाते हैं।
3. गंभीर:Content-Security-PolicyContent Security Policy (CSP) एक छोटा निर्देश है जिसे आपका server पेज के साथ जोड़ता है, और यह बताता है कि browser scripts, styles और embedded frames किन जगहों से लोड कर सकता है। इसके बिना, अगर कभी भी कोई चीज़ आपके पेज में कोई script डाल दे (किसी comment field, किसी URL parameter, या किसी third-party widget के ज़रिए जिसका vendor hack हो जाए), तो browser उसे बिना सवाल चलाता है। ऐसी एक गलती के सीमित रहने और उसके पेज की हर चीज़ पढ़ पाने के बीच का फ़र्क यही policy तय करती है। आप इसे पहले सिर्फ़ report-only mode में लगा सकते हैं, ताकि यह सीखते हुए कि इसे किसकी ज़रूरत है, साइट के टूटने का कोई खतरा न रहे।
4. गंभीर:Strict-Transport-SecurityStrict-Transport-Security (HSTS) एक लाइन का निर्देश है जो browsers से कहता है कि इस साइट तक हमेशा सिर्फ़ encrypted कनेक्शन पर ही पहुँचें, और इसे एक तय अवधि तक याद रखें। इसके बिना, विज़िटर की सबसे पहली request, चाहे आपका domain टाइप करना हो या किसी पुराने http link पर जाना, आपके redirect के असर में आने से पहले बिना encryption के चली जाती है, और वही पहली request ठीक वह है जिसे उसी network पर मौजूद कोई बीच में पकड़ सकता है। अकेले redirects इस खाई को नहीं पाट सकते, यह header पाट सकता है।
5. गंभीर:Stripe publishable keyएक credential, एक API key, एक access token या एक password जैसी बनावट वाली एक string इस पेज की परोसी एक JavaScript file के अंदर मिली। हर विज़िटर वह file download करता है, इसलिए अगर यह सचमुच एक live key है तो जो कोई developer tools खोले उससे यह गुप्त नहीं है, चाहे और कुछ भी इसकी रखवाली कर रहा हो। कुछ matches झूठे अलार्म होते हैं (publishable keys, test fixtures, वे values जिनका दिखना ही इरादा है), इसीलिए redacted अंश इसी रिपोर्ट के अंदर रहता है और किसी दूसरे tool में कभी copy नहीं किया जाता। जाँचें कि यह live है या नहीं, क्योंकि अगर है, तो टिकने वाला इकलौता हल line मिटाना नहीं बल्कि key बदलना है।
6. गंभीर:Analytics write keyएक credential, एक API key, एक access token या एक password जैसी बनावट वाली एक string इस पेज की परोसी एक JavaScript file के अंदर मिली। हर विज़िटर वह file download करता है, इसलिए अगर यह सचमुच एक live key है तो जो कोई developer tools खोले उससे यह गुप्त नहीं है, चाहे और कुछ भी इसकी रखवाली कर रहा हो। कुछ matches झूठे अलार्म होते हैं (publishable keys, test fixtures, वे values जिनका दिखना ही इरादा है), इसीलिए redacted अंश इसी रिपोर्ट के अंदर रहता है और किसी दूसरे tool में कभी copy नहीं किया जाता। जाँचें कि यह live है या नहीं, क्योंकि अगर है, तो टिकने वाला इकलौता हल line मिटाना नहीं बल्कि key बदलना है।
7. फ्लैग:color-contrastयह axe की रिपोर्ट की हुई एक विफलता है, जो एक automated accessibility checker है और rendered पेज को WCAG दिशानिर्देशों के हिसाब से जाँचता है। हर एक का मतलब है कि screen reader, अकेले keyboard, या कम दृष्टि के साथ पेज इस्तेमाल करने वाले कुछ लोग यहाँ किसी खास रुकावट से टकराते हैं, और impact वाला शब्द axe की अपनी grading है: critical का आम तौर पर मतलब है कि व्यक्ति काम बिल्कुल पूरा नहीं कर पाता, minor का मतलब है थोड़ी दिक्कत। Automated जाँचें असल यूज़र्स के लिए पेज में जो गलत है उसका सिर्फ़ एक हिस्सा ही पकड़ती हैं, इसलिए इन्हें छत नहीं, फ़र्श समझें। इन्हें पहले ठीक करना सही रहता है क्योंकि खराब elements एक एक करके सूचीबद्ध होते हैं, जिससे इनमें से ज़्यादातर पूरे redesign के बजाय एक टारगेटेड बदलाव भर रह जाते हैं।
8. फ्लैग:प्राइवेसी पॉलिसी लिंकScan ने इस पेज के हर link को यह ढूँढते हुए पढ़ा कि कोई privacy policy तक ले जाता है या नहीं, यानी वो दस्तावेज़ जो विज़िटर को बताता है कि आप उनके बारे में क्या इकट्ठा करते हैं और उसका क्या करते हैं, और एक भी नहीं मिला। जो विज़िटर जाँचना चाहें उनके पास कोई रास्ता नहीं है, और app stores, ad platforms और payment providers अक्सर ऐसे accounts को मना कर देते हैं या रोक देते हैं जिनकी साइट यह नहीं दिखा पाती। इस जाँच ने सिर्फ़ वही पेज देखा जो उसे दिया गया, इसलिए अगर policy पहले से कहीं और मौजूद है, तो ठीक करना शायद footer में एक link भर है।
9. फ्लैग:क्लिकजैकिंग सुरक्षा (X-Frame-Options या frame-ancestors)यहाँ कुछ भी browsers को नहीं बताता कि दूसरी वेबसाइटों को आपका पेज एक frame के अंदर, यानी उनके पेज में जड़ी एक खिड़की के अंदर, लोड करने की इजाज़त है या नहीं। इससे clickjacking का रास्ता खुलता है, जहाँ कोई आपके असली पेज को अपने बटनों के ऊपर अदृश्य रूप से बिछा देता है ताकि विज़िटर समझे कि वह कुछ और क्लिक कर रहा है जबकि असल में वह आपका क्लिक करता है। यह सबसे ज़्यादा वहाँ मायने रखता है जहाँ hijack करने लायक कोई logged-in action हो, और एक स्थिर brochure पेज पर बहुत कम। पर ठीक करना दोनों ही हालात में एक header भर है, इसलिए इसे खुला छोड़ने की कोई खास वजह नहीं।
10. फ्लैग:X-Content-Type-Options: nosniffयह एक लाइन का निर्देश है जो browser से कहता है कि content से अंदाज़ा लगाने के बजाय आपके server के बताए file type पर भरोसा करे। इसके बिना, browser यह तय कर सकता है कि जिसे आप plain text या यूज़र का upload करके भेजते हैं वह असल में JavaScript या HTML है और उसे चला दे, और इसी तरह एक भोला भाला दिखने वाला upload चलने वाला code बन जाता है। इसका value तय है, साइट के हिसाब से तय करने को कुछ नहीं है, और इसके कुछ भी तोड़ने की गुंजाइश लगभग शून्य है, जो इसे इस पूरी रिपोर्ट के सबसे सस्ते items में से एक बनाता है।
11. फ्लैग:Referrer-Policy पूरा URL हर मूल को भेजती है (unsafe-url)Referrer-Policy यह तय करती है कि browser आपके पेज के पते का कितना हिस्सा दूसरी साइटों को दिखाए, और आपकी policy एक ऐसे value पर सेट है जो path और query string समेत पूरा पता हर मंज़िल को सौंप देती है। अगर आपके किसी भी URL में कोई password reset token, कोई search term, कोई customer id या कोई order reference है, तो वह value third parties को दी जा रही है, पेज के हर analytics और advertising script समेत। इसे सिर्फ़ एक गायब policy से ऊपर आँका जाता है क्योंकि header मौजूद है और सक्रिय रूप से leak करने वाला व्यवहार चुन रहा है, और एक शब्द बदलना इसे ठीक कर देता है।
12. फ्लैग:कुकी Secure एट्रिब्यूटCookie वह डेटा का छोटा टुकड़ा है जिसे आपकी साइट browser से रखने और हर विज़िट पर वापस भेजने को कहती है, अक्सर वही token जो किसी को signed in रखता है। आपकी कम से कम एक cookie Secure attribute के बिना सेट है, यानी browser इसे एक बिना encryption वाले कनेक्शन पर भेजने को तैयार है, जहाँ उसी network रास्ते पर मौजूद कोई भी इसे पढ़ सकता है। प्रभावित cookie नाम evidence में सूचीबद्ध हैं, और यह हर उस जगह जोड़ा जाने वाला एक ही option है जहाँ हर cookie सेट होती है।

16 और निष्कर्ष, नीचे के अनुभागों में