# 'humble' (HTTP Headers Analyzer)
# https://github.com/rfc-st/humble/
#
# MIT License
#
# Copyright (c) 2020-2024 Rafa 'Bluesman' Faura (rafael.fcucalon@gmail.com)
#
# Permission is hereby granted, free of charge, to any person obtaining a copy
# of this software and associated documentation files (the "Software"), to deal
# in the Software without restriction, including without limitation the rights
# to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
# copies of the Software, and to permit persons to whom the Software is
# furnished to do so, subject to the following conditions:
#
# The above copyright notice and this permission notice shall be included in
# all copies or substantial portions of the Software.
#
# THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
# IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
# FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
# AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
# LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
# OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
# SOFTWARE.

[Sobre esta herramienta]

'humble' es una herramienta estricta, comprobando cabeceras de respuesta HTTP
y sus valores, incluyendo las 'Experimentales'. Se basa, en gran parte, en la
información de https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers

Y puede que no estés de acuerdo con los resultados tras el análisis; !y eso es
magnífico y necesario :)!: nunca deberías confiar ciegamente en herramientas de
seguridad; siempre debe haber un trabajo posterior para evaluar el riesgo real:
inexistente, potencial o certero en función de la URL, entorno y exposición.

[Notas y comprobaciones asociadas]

D: 'Protocolos/Cabeceras obsoletas o inseguras' en el análisis.
C: 'Cabeceras no habilitadas' en el análisis.
B: 'Huella digital por cabeceras' en el análisis.
A: Sin advertencias en las secciones anteriores.

Ficheros fuente de las comprobaciones:

/additional/insecure.txt    ('Protocolos/Cabeceras obsoletas o inseguras')
/additional/missing.txt     ('Cabeceras no habilitadas')
/additional/fingerprint.txt ('Huella digital por cabeceras')

[Mejorando la nota]

Evalúa las advertencias en relación a la exposición de la URL, su criticidad
y la naturaleza de la cabecera HTTP (por ejemplo, experimental, según
https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers).

Usa el parámetro '-s' para excluir cabeceras HTTP del análisis (las exclusiones
se mostrarán en los resultados).

No te obsesiones :): mantén una postura de seguridad constante, lo más segura
posible, documentándola y actualizándola constantemente.
