Headers Security Advanced & HSTS WP - en to uk translation catalogue (416 entries)

note: Plugin Name of the plugin/theme
en: Headers Security Advanced & HSTS WP
uk: Заголовки, Безпека, Розширені налаштування та HSTS, WordPress

en: You do not have sufficient permissions to access this page.
uk: У вас недостатньо прав для доступу до цієї сторінки.

en: %1$sYour website is finally safe! 🚀%2$s Implement enhanced security headers, HSTS preload for optimum website protection.
uk: %1$sВаш веб-сайт нарешті у безпеці! 🚀%2$s Впровадьте розширені заголовки безпеки та попереднє завантаження HSTS для оптимального захисту веб-сайту.

en: The security of your website is our priority! 🛸
uk: Безпека вашого веб-сайту — наш пріоритет! 🛸

en: %1$sHeaders Security Advanced & HSTS WP%2$s adds 10+ security headers to protect your WordPress site from phishing, data theft, clickjacking, XSS, and protocol downgrade attacks. Easy to configure, compatible with all servers and caching plugins.
uk: %1$sПлагін «Headers Security Advanced & HSTS»%2$s додає понад 10 захисних заголовків для захисту вашого сайту WordPress від фішингу, крадіжки даних, клікджекінгу, XSS та атак з пониженням версії протоколу. Простий у налаштуванні, сумісний з усіма серверами та плагінами кешування.

en: Security Headers
uk: Заголовки безпеки

en: Active Sites
uk: Активні сайти

en: Top Grade
uk: Найвищий рівень

en: I create projects available to everyone for free and I like to create simple but functional projects. Every feature this plugin offers today will remain completely free, forever. That is a promise I intend to keep.
uk: Я створюю проекти, доступні всім безкоштовно, і мені подобається розробляти прості, але функціональні проекти. Усі функції, які цей плагін пропонує сьогодні, залишатимуться повністю безкоштовними назавжди. Це обіцянка, яку я маю намір дотримати.

en: Maintaining a plugin trusted by 100,000+ sites takes constant work: security patches, WordPress updates, new browser standards, support. To fund this effort, I built %1$sShield%2$s — a set of brand-new advanced tools for professionals who need more. Nothing existing moves behind a paywall. Your support through Shield directly funds free updates for everyone.
uk: Підтримка плагіна, якому довіряють понад 100 000 сайтів, вимагає постійної роботи: виправлення безпеки, оновлення WordPress, підтримка нових стандартів браузерів, технічна підтримка. Щоб фінансувати цю діяльність, я створив %1$sShield%2$s — набір абсолютно нових просунутих інструментів для професіоналів, яким потрібно більше. Жодна з існуючих функцій не переходить за платний доступ. Ваша підтримка через Shield безпосередньо фінансує безкоштовні оновлення для всіх.

en: Buy me a coffee
uk: Пригости мене кавою

en: Donate via PayPal
uk: Зробити пожертву через PayPal

en: %1$sDo you need help with the Headers Security Advanced & HSTS WP plugin?%2$s Don't worry, I've got it covered!
uk: %1$sПотрібна допомога з плагіном Headers Security Advanced & HSTS для WordPress?%2$s Не хвилюйтеся, я вам допоможу!

en: %1$sHelp me decide what the next features of this plugin will be!%2$s Take part in a nerdy survey!
uk: %1$sДопоможіть мені вирішити, якими будуть наступні функції цього плагіна!%2$s Візьміть участь в опитуванні для фанатів технологій!

en: Quick selection:
uk: Швидкий вибір:

en: Strict Transport Security (HSTS)
uk: Протокол HSTS (Strict Transport Security)

en: Content Security Policy (CSP)
uk: Політика безпеки вмісту (CSP)

en: Permissions Policy
uk: Політика щодо дозволів

en: Max-Age:
uk: Максимальний вік:

en: The Max-Age parameter specifies the period of time (in seconds) for which the browser should store the HSTS information. During this time period, the browser will always use HTTPS to communicate with the website, even if the visitor has entered "http" or an HTTP link in the address bar. This helps protect the website and its visitors from man-in-the-middle (MITM) attacks and other security threats.
uk: Параметр Max-Age визначає період часу (у секундах), протягом якого браузер повинен зберігати інформацію HSTS. Протягом цього періоду браузер завжди використовуватиме протокол HTTPS для зв’язку з веб-сайтом, навіть якщо відвідувач ввів «http» або посилання HTTP в адресному рядку. Це допомагає захистити веб-сайт та його відвідувачів від атак типу «людина посередині» (MITM) та інших загроз безпеці.

en: It is advisable to set "max-age" to a high value, such as a full year (31536000 seconds). This ensures that browsers continue to store security information for a long period of time, which helps protect users from man-in-the-middle attacks. However, it is important to keep in mind that setting the value too high could cause problems if you need to change your site's SSL configuration in the future. Therefore, it is important to carefully consider your usage and security needs before setting the value.
uk: Рекомендується встановити для параметра «max-age» велике значення, наприклад, цілий рік (31536000 секунд). Це гарантує, що браузери будуть зберігати інформацію про безпеку протягом тривалого часу, що допомагає захистити користувачів від атак типу «людина посередині». Однак важливо пам’ятати, що занадто велике значення може спричинити проблеми, якщо в майбутньому знадобиться змінити конфігурацію SSL вашого сайту. Тому перед тим, як встановлювати це значення, важливо ретельно зважити ваші потреби у використанні та безпеці.

en: Include Subdomains:
uk: Включити піддомени:

en: The "includeSubDomains" flag specifies that the effect of the header should also be applied to subdomains of the domain. When this directive is present, all requests to any subdomains of your domain are automatically redirected to the HTTPS protocol, providing enhanced security for the website and the users who visit it.
uk: Прапорець «includeSubDomains» вказує, що дія цього заголовка має поширюватися також на піддомени домену. Якщо ця директива вказана, усі запити до будь-яких піддоменів вашого домену автоматично перенаправляються на протокол HTTPS, що забезпечує підвищений рівень безпеки веб-сайту та його відвідувачів.

en: We recommend enabling the "includeSubDomains" option in the HSTS header to ensure that all subsections of your site (subdomains) are only loaded via HTTPS. However, before enabling this flag, it is important to ensure that all subdomains, resources and web services working under your domain are available via HTTPS and that there are no compatibility issues with any external services used by your site.
uk: Ми рекомендуємо увімкнути параметр «includeSubDomains» у заголовку HSTS, щоб усі підрозділи вашого сайту (піддомени) завантажувалися виключно через HTTPS. Однак перед увімкненням цього параметра важливо переконатися, що всі піддомени, ресурси та веб-сервіси, які працюють під вашим доменом, доступні через HTTPS, а також що немає проблем із сумісністю з будь-якими зовнішніми сервісами, які використовує ваш сайт.

en: Preload:
uk: Попереднє завантаження:

en: The "preload" flag allows the website to be included in the %1$sHSTS preload list%2$s, which instructs browsers to always use HTTPS connection for the site and its subdomains, without ever making insecure HTTP requests.
uk: Прапорець «preload» дозволяє включити веб-сайт до %1$sсписку попереднього завантаження HSTS%2$s, що дає браузерам вказівку завжди використовувати HTTPS-з'єднання для цього сайту та його піддоменів, не надсилаючи жодних незахищених HTTP-запитів.

en: Enabling preload further helps prevent any potential man-in-the-middle attacks, thus improving connection security as far as it concerns HSTS. Please note that even if this flag is enabled, your website still needs to be manually submitted to the list. Please also note that inclusion in the preload list has permanent consequences and is not easy to undo, so you should only enable this flag and submit your website after making sure that all of the resources and services within your domain (and its subdomains, if includeSubDomains is also enabled) are indeed accessible and functional via HTTPS. %1$sLearn more%2$s.
uk: Увімкнення попереднього завантаження додатково допомагає запобігти можливим атакам типу «людина посередині», тим самим підвищуючи безпеку з’єднання в контексті HSTS. Зверніть увагу, що навіть якщо цей прапорець увімкнено, ваш веб-сайт все одно потрібно вручну додати до списку. Також зверніть увагу, що включення до списку попереднього завантаження має постійні наслідки і його нелегко скасувати, тому вам слід увімкнути цей прапорець і додати свій веб-сайт лише після того, як переконаєтеся, що всі ресурси та служби у вашому домені (та його піддоменах, якщо також увімкнено includeSubDomains) дійсно доступні та функціонують через HTTPS. %1$sДізнатися більше%2$s.

en: CSP Header Contents
uk: Зміст заголовка CSP

en: HTTP Content-Security-Policy header controls website resources, reducing XSS risk by specifying allowed server origins and script endpoints.
uk: Заголовок HTTP Content-Security-Policy контролює ресурси веб-сайту, знижуючи ризик XSS шляхом визначення дозволених джерел серверів та кінцевих точок скриптів.

en: CSP Report URI
uk: URI звіту CSP

en: Enter your custom URL (Sentry, URIports, Datadog, and Report URI) for CSP violation reports.
uk: Введіть власний URL-адресу (Sentry, URIports, Datadog та Report URI) для звітів про порушення CSP.

en: Permissions Policy Contents
uk: Зміст політики щодо дозволів

en: The HTTP Permissions-Policy header provides a mechanism to allow and deny the use of browser features in a document or within any <iframe> elements in the document.
uk: Заголовок HTTP Permissions-Policy забезпечує механізм, що дозволяє дозволяти або забороняти використання функцій браузера в документі або в будь-яких елементах <iframe> у цьому документі.

en: The X-Frame-Options HTTP response header can be used to indicate whether or not a browser should be allowed to render a page in a <frame>, <iframe>, <embed> or <object>. Sites can use this to avoid click-jacking attacks, by ensuring that their content is not embedded into other sites.
uk: Заголовок HTTP-відповіді X-Frame-Options можна використовувати для вказівки, чи слід браузеру дозволяти відображати сторінку у форматі <frame>, <iframe>, <embed> або <object>. Веб-сайти можуть використовувати цю функцію для запобігання атакам типу «клік-джекінг», гарантуючи, що їхній контент не буде вбудовано в інші сайти.

en: Resolve duplicate site headers (beta):
uk: Вирішення проблеми з дублюванням заголовків сайтів (бета-версія):

en: Disable (Strict-Transport-Security).
uk: Вимкнути (Strict-Transport-Security).

en: Disable (Permissions-Policy).
uk: Вимкнути (Політика дозволів).

en: Disable (X-Content-Type-Options).
uk: Вимкнути (X-Content-Type-Options).

en: Disable (X-Frame-Options).
uk: Вимкнути (X-Frame-Options).

en: Congratulations, you are safe!
uk: Вітаємо, ви в безпеці!

en: %1$sThe Headers Security Advanced & HSTS WP%2$s project implements HTTP response headers that your site can use to increase the security of your website. The plug-in will automatically set up all Best Practices (you don’t have to think about anything). You will also be able to change the headers simply in the plugin settings.
uk: %1$sПроект «Headers Security Advanced & HSTS WP%2$s» реалізує заголовки HTTP-відповідей, які ваш сайт може використовувати для підвищення рівня безпеки. Плагін автоматично налаштує всі рекомендовані практики (вам не доведеться ні про що турбуватися). Ви також зможете легко змінювати налаштування заголовків у налаштуваннях плагіна.

en: Security is a right, not a privilege. Plugin version %s.
uk: Безпека — це право, а не привілей. Версія плагіна %s.

en: Your site is not using HTTPS
uk: Ваш сайт не використовує протокол HTTPS

en: HSTS requires HTTPS. Enable SSL certificate first, then configure HSTS. Most hosting providers offer free SSL via Let's Encrypt.
uk: HSTS вимагає використання HTTPS. Спочатку активуйте SSL-сертифікат, а потім налаштуйте HSTS. Більшість хостинг-провайдерів пропонують безкоштовні SSL-сертифікати через Let's Encrypt.

en: Contact your hosting provider to enable SSL/HTTPS.
uk: Зверніться до свого хостинг-провайдера, щоб увімкнути SSL/HTTPS.

en: HSTS max-age too short
uk: Занадто короткий термін дії HSTS

en: Your max-age is %1$s seconds (%2$s days). For HSTS preload list, it must be at least 31536000 (1 year). A longer max-age means browsers will remember to always use HTTPS for your site.
uk: Ваше значення max-age становить %1$s секунд (%2$s день). Для списку попереднього завантаження HSTS воно має бути не менше 31536000 (1 рік). Більше значення max-age означає, що браузери запам'ятають, що для вашого сайту завжди слід використовувати HTTPS.

en: Go to Settings → Max-Age and set it to 63072000 (2 years, recommended).
uk: Перейдіть до «Налаштування» → «Max-Age» і встановіть значення 63072000 (2 роки, рекомендовано).

en: Ready for HSTS Preload
uk: Готово до попереднього завантаження HSTS

en: Your site meets the requirements for the HSTS Preload list. This means browsers will ALWAYS use HTTPS for your site, even on the first visit. It's the highest level of HTTPS protection.
uk: Ваш сайт відповідає вимогам списку HSTS Preload. Це означає, що браузери ЗАВЖДИ використовуватимуть протокол HTTPS для вашого сайту, навіть під час першого відвідування. Це найвищий рівень захисту HTTPS.

en: Enable Preload in settings, then submit your site at hstspreload.org.
uk: Увімкніть функцію попереднього завантаження в налаштуваннях, а потім додайте свій сайт на hstspreload.org.

en: Content Security Policy is using default (basic) settings
uk: Політика безпеки вмісту використовує стандартні (базові) налаштування

en: The default CSP only enforces HTTPS upgrades. A custom CSP tells browsers exactly which resources are allowed to load on your site, blocking everything else. This is the most powerful protection against XSS attacks.
uk: Стандартна політика CSP забезпечує лише перехід на HTTPS. Налаштована політика CSP вказує браузерам, які саме ресурси можна завантажувати на вашому сайті, блокуючи все інше. Це найефективніший захист від атак типу XSS.

en: Configure a custom CSP in Settings → CSP Header Contents. Start with report-only mode to test before enforcing.
uk: Налаштуйте власний CSP у розділі «Налаштування» → «Вміст заголовка CSP». Для тестування спочатку увімкніть режим «Тільки звіт», а потім перейдіть до повного застосування.

en: CSP allows inline scripts (unsafe-inline)
uk: CSP дозволяє використання вбудованих скриптів (unsafe-inline)

en: This is common for WordPress sites but weakens CSP protection. Many plugins inject inline scripts, making it hard to avoid. For maximum security, consider using nonce-based CSP in the future.
uk: Це типова ситуація для сайтів на WordPress, але вона послаблює захист CSP. Багато плагінів вставляють вбудовані скрипти, що ускладнює уникнення цього. Для забезпечення максимальної безпеки рекомендуємо в майбутньому розглянути можливість використання CSP на основі nonce.

en: This is acceptable for most WordPress sites. Focus on other headers first.
uk: Це підходить для більшості сайтів на WordPress. Спочатку зосередьтеся на інших заголовках.

en: CSP uses wildcard (*)
uk: CSP використовує символ-замінник (*)

en: A wildcard allows resources from any domain, which reduces the effectiveness of CSP. Try to specify exact domains instead.
uk: Використання символу-замінника дозволяє використовувати ресурси з будь-якого домену, що знижує ефективність CSP. Натомість спробуйте вказати конкретні домени.

en: Replace * with specific domains (e.g., *.googleapis.com, *.cloudflare.com).
uk: Замініть * на конкретні домени (наприклад, *.googleapis.com, *.cloudflare.com).

en: CSP violation reporting not configured
uk: Повідомлення про порушення CSP не налаштовано

en: Without CSP reporting, you won't know when your policy blocks something unexpected. With Shield, you can use the built-in CSP analytics endpoint or connect Sentry/Datadog.
uk: Без звітів CSP ви не дізнаєтеся, коли ваша політика блокує щось несподіване. З Shield ви можете скористатися вбудованим кінцевим пунктом аналітики CSP або підключити Sentry/Datadog.

en: Configure the CSP Report URI in settings or use the built-in Shield analytics endpoint.
uk: Налаштуйте URI звіту CSP у налаштуваннях або скористайтеся вбудованою точкою кінцевого доступу Shield Analytics.

en: Camera/Microphone permissions too open
uk: Дозволи на використання камери та мікрофона надано надто широко

en: Your Permissions Policy allows any site to access camera and microphone. Unless your site needs these features, restrict them to prevent unauthorized access.
uk: Ваша політика дозволів дозволяє будь-якому веб-сайту отримувати доступ до камери та мікрофона. Якщо ваш веб-сайт не потребує цих функцій, обмежте їх, щоб запобігти несанкціонованому доступу.

en: Set camera=() and microphone=() in Permissions Policy to disable them completely.
uk: У налаштуваннях політики дозволів встановіть для параметрів camera=() та microphone=() значення (), щоб повністю їх вимкнути.

en: X-Frame-Options ALLOW-FROM is set without a URL
uk: Параметр X-Frame-Options ALLOW-FROM встановлено без URL-адреси

en: ALLOW-FROM requires a specific URL. Without it, the header is invalid and your site is vulnerable to clickjacking attacks.
uk: Для параметра ALLOW-FROM потрібно вказати конкретний URL-адресу. Без нього цей заголовок вважається недійсним, і ваш сайт стає вразливим до атак типу «клікджекінг».

en: Either add a specific URL or switch to DENY/SAMEORIGIN.
uk: Додайте конкретну URL-адресу або перейдіть до параметра DENY/SAMEORIGIN.

en: ALLOW-FROM is deprecated
uk: ALLOW-FROM є застарілим

en: The ALLOW-FROM directive is not supported by modern browsers (Chrome, Firefox). Use CSP frame-ancestors directive instead for the same effect with better browser support.
uk: Директива ALLOW-FROM не підтримується сучасними браузерами (Chrome, Firefox). Для досягнення того самого ефекту з кращою підтримкою браузерів скористайтеся замість неї директивою CSP frame-ancestors.

en: Switch to DENY or SAMEORIGIN and use CSP frame-ancestors for fine-grained control.
uk: Перейдіть на значення DENY або SAMEORIGIN і використовуйте предків кадру CSP для детального контролю.

en: Some headers are disabled to avoid duplicates
uk: Деякі заголовки вимкнено, щоб уникнути дублювання

en: You've disabled some headers, likely because your hosting server already sets them. This is correct and prevents duplicate header issues. Make sure the server-level headers are properly configured.
uk: Ви вимкнули деякі заголовки, ймовірно, тому що ваш хостинг-сервер уже їх встановлює. Це правильно і дозволяє уникнути проблем із дублюванням заголовків. Переконайтеся, що заголовки на рівні сервера налаштовані належним чином.

en: Verify your server headers using the External Scan link in the dashboard.
uk: Перевірте заголовки вашого сервера за допомогою посилання «Зовнішнє сканування» на панелі керування.

en: 🎉 Excellent! Your security headers are well configured.
uk: 🎉 Чудово! Ваші заголовки безпеки налаштовані правильно.

en: All major security headers are active and properly configured. Keep an eye on the weekly scan reports for any changes.
uk: Усі основні заголовки безпеки активні та налаштовані належним чином. Слідкуйте за щотижневими звітами про сканування на предмет будь-яких змін.

en: No action needed. Your site is well protected.
uk: Ніяких дій не потрібно. Ваш сайт надійно захищений.

en: Insufficient permissions.
uk: Недостатні права доступу.

en: 🚨 Critical
uk: 🚨 Критичний

en: ⚠️ High
uk: ⚠️ Високий

en: 💡 Medium
uk: 💡 Середній

en: ℹ️ Low
uk: ℹ️ Низький

en: 📋 Info
uk: 📋 Інформація

en: ✅ All Good
uk: ✅ Все гаразд

en: Security Advisor
uk: Радник з питань безпеки

note: translators: %1$d old score, %2$d new score
en: 📉 Security score dropped from %1$d to %2$d.
uk: 📉 Рівень безпеки знизився з %1$d до %2$d.

note: translators: %s is header name
en: ❌ Header %s was removed or is no longer present.
uk: ❌ Заголовок %s було видалено або його більше немає.

en: You do not have sufficient permissions.
uk: У вас немає необхідних прав доступу.

en: Security Headers Dashboard
uk: Панель управління заголовками безпеки

en: 🎉 Excellent! Your site is well protected.
uk: 🎉 Чудово! Ваш сайт надійно захищений.

en: ⚠️ Good, but there's room for improvement.
uk: ⚠️ Непогано, але є над чим попрацювати.

en: 🚨 Your site needs attention. Several headers are missing or misconfigured.
uk: 🚨 Ваш сайт потребує уваги. Деякі заголовки відсутні або налаштовані неправильно.

en: Your security headers are protecting against %1$s out of %2$s threat categories. Each header blocks a specific type of attack.
uk: Ваші заголовки безпеки забезпечують захист від %1$s із %2$s категорій загроз. Кожен заголовок блокує певний тип атаки.

en: Last scan: %s
uk: Останнє сканування: %s

en: ago
uk: тому

en: 🛡️ Header Status
uk: 🛡️ Стан заголовка

en: Header
uk: Заголовок

en: Status
uk: Статус

en: What it protects
uk: Що це захищає

en: Secure
uk: Шифрування

en: Needs work
uk: Потребує доопрацювання

en: Missing
uk: Відсутній

en: Configure Headers
uk: Налаштувати заголовки

en: Customize HSTS, CSP, and other security headers.
uk: Налаштуйте HSTS, CSP та інші заголовки безпеки.

en: External Scan
uk: Зовнішнє сканування

en: Verify your headers on SecurityHeaders.com
uk: Перевірте свої заголовки на сайті SecurityHeaders.com

en: Forces encrypted (HTTPS) connection. Blocks eavesdropping attacks.
uk: Забезпечує зашифроване (HTTPS) з'єднання. Запобігає атакам з перехоплення даних.

en: Controls what resources can load. Blocks code injection and XSS.
uk: Контролює, які ресурси можуть завантажуватися. Блокує вставку коду та XSS.

en: Prevents browser from guessing file types. Blocks MIME-sniffing attacks.
uk: Запобігає спробам браузера вгадати типи файлів. Блокує атаки з використанням MIME-sniffing.

en: Prevents your site from being embedded in frames. Blocks clickjacking.
uk: Запобігає вбудовуванню вашого сайту у фрейми. Блокує клікджекінг.

en: Controls what info is sent when users click links. Protects privacy.
uk: Контролює, яка інформація надсилається, коли користувачі натискають на посилання. Захищає конфіденційність.

en: Controls browser features (camera, mic, location). Blocks unauthorized access.
uk: Керує функціями браузера (камера, мікрофон, місцезнаходження). Блокує несанкціонований доступ.

en: Isolates your site from pop-ups. Blocks cross-origin attacks.
uk: Захищає ваш сайт від спливаючих вікон. Блокує міждоменні атаки.

en: Controls how resources are loaded cross-origin. Adds isolation.
uk: Регулює завантаження ресурсів з інших доменів. Забезпечує ізоляцію.

en: Controls who can load your resources. Blocks data theft.
uk: Контролює, хто може завантажувати ваші ресурси. Запобігає викраденню даних.

en: Blocks Flash/PDF from loading cross-domain data.
uk: Забороняє Flash/PDF завантажувати дані з інших доменів.

en: Security header active.
uk: Заголовок безпеки активний.

en: Invalid license key format.
uk: Неправильний формат ліцензійного ключа.

en: License activated! Shield features are now available. Reloading...
uk: Ліцензія активовано! Функції Shield тепер доступні. Завантаження триває...

en: License deactivated. Free features remain active.
uk: Ліцензія деактивована. Безкоштовні функції залишаються активними.

en: Could not reach license server. Please try again.
uk: Не вдалося підключитися до сервера ліцензій. Спробуйте ще раз.

en: Invalid response from license server.
uk: Неправильна відповідь від сервера ліцензій.

en: License key not found. Please check and try again.
uk: Ліцензійний ключ не знайдено. Перевірте його та спробуйте ще раз.

en: This license has been disabled. Contact support.
uk: Ця ліцензія була деактивована. Зверніться до служби підтримки.

en: This license has expired. Please renew.
uk: Термін дії цієї ліцензії закінчився. Будь ласка, поновіть її.

en: Maximum activations reached. Deactivate on another site first, or contact support.
uk: Досягнуто максимальної кількості активацій. Спочатку деактивуйте обліковий запис на іншому сайті або зверніться до служби підтримки.

en: License validation failed. Please check your key.
uk: Помилка під час перевірки ліцензії. Перевірте свій ключ.

en: points added by the plugin
uk: бали, додані плагіном

en: Without Plugin
uk: Без плагіна

en: %d of 10 headers from server
uk: %d із 10 заголовків із сервера

en: With Plugin
uk: За допомогою плагіна

en: %d of 10 headers active
uk: %d із 10 заголовків активні

en: Header Status
uk: Статус заголовка

en: Issues Found
uk: Виявлені проблеми

en: Verify independently:
uk: Перевірте самостійно:

note: translators: %s is the error message
en: Could not reach site: %s
uk: Не вдалося підключитися до сайту: %s

en: HSTS header is missing. Your site is vulnerable to downgrade attacks.
uk: Відсутній заголовок HSTS. Ваш сайт вразливий до атак типу «даунгрейд».

en: Increase max-age to at least 31536000 (1 year) for HSTS preload eligibility.
uk: Збільшити значення max-age щонайменше до 31536000 (1 рік) для відповідності вимогам попереднього завантаження HSTS.

en: Consider adding preload directive for HSTS preload list submission.
uk: Варто розглянути можливість додавання директиви попереднього завантаження для подання списку попереднього завантаження HSTS.

en: CSP header is missing. Your site is vulnerable to XSS attacks.
uk: Відсутній заголовок CSP. Ваш сайт вразливий до атак типу XSS.

en: CSP allows unsafe-inline scripts. Consider using nonce-based or hash-based CSP for stronger protection.
uk: CSP дозволяє використання небезпечних вбудованих скриптів. Для посилення захисту рекомендується використовувати CSP на основі одноразових кодів або хеш-функцій.

en: CSP allows unsafe-eval. This permits dynamic code execution, which is a security risk.
uk: CSP дозволяє використання unsafe-eval. Це дає змогу виконувати код динамічно, що становить загрозу безпеці.

note: translators: %s is header name
en: Header %s is not present in the response.
uk: Заголовок %s відсутній у відповіді.

note: translators: %s is header name
en: Duplicate header detected: %s. This can cause browser conflicts. Use the plugin's "Resolve duplicate headers" option.
uk: Виявлено дублікат заголовка: %s. Це може спричинити конфлікти в роботі браузера. Скористайтеся опцією плагіна «Вирішити проблему дублікатів заголовків».

en: Security score dropped from %1$d to %2$d
uk: Рівень безпеки знизився з %1$d до %2$d

en: Header removed: %s
uk: Заголовок видалено: %s

en: Weekly scan completed. Score: %1$d/100 (Grade: %2$s)
uk: Тижнева перевірка завершена. Результат: %1$d/100 (Оцінка: %2$s)

en: No webhook URL provided.
uk: URL-адреса вебхука не вказана.

en: This is a test notification from Headers Security Advanced & HSTS WP Shield.
uk: Це тестове повідомлення від Headers Security Advanced та HSTS WP Shield.

en: Test notification sent!
uk: Повідомлення про тестування надіслано!

en: Custom Webhook (JSON POST)
uk: Налаштований веб-хук (JSON POST)

en: Webhook Notifications
uk: Сповіщення через веб-хуки

en: How to set up
uk: Як налаштувати

en: Test
uk: Тест

en: Send notifications when:
uk: Надсилати сповіщення, коли:

en: Security score drops
uk: Рівень безпеки знижується

en: A header is removed
uk: Заголовок видалено

en: Critical issues found
uk: Виявлені критичні проблеми

en: Every scan (including clean reports)
uk: Кожне сканування (включно зі звітами про відсутність проблем)

en: Notification settings saved.
uk: Налаштування сповіщень збережено.

en: Invalid export file.
uk: Файл експорту недійсний.

en: Imported %d settings successfully. Reloading...
uk: Налаштування %d успішно імпортовано. Перезавантаження...

en: Unlock Shield
uk: Розблокувати щит

en: Or enter your license key in the License tab.
uk: Або введіть свій ліцензійний ключ на вкладці «Ліцензія».

en: Settings
uk: Налаштування

en: Dashboard
uk: Консоль

en: Notifications
uk: Сповіщення

en: Export / Import
uk: Експорт / Імпорт

en: License
uk: Ліцензія

en: Free vs Shield
uk: «Фрі» проти «Шілд»

en: Security score (A-F), AI-powered recommendations, header status for all 10 security headers, automated scanning, and scan history.
uk: Оцінка безпеки (A–F), рекомендації на основі штучного інтелекту, стан усіх 10 заголовків безпеки, автоматичне сканування та історія сканувань.

en: No scan yet
uk: Сканування ще не виконано

en: %d/%d bonus headers
uk: %d/%d додаткові заголовки

en: Verify on SecurityHeaders.com
uk: Перевірити на сайті SecurityHeaders.com

en: Last scan: %s ago
uk: Останнє сканування: %s тому

en: Run Scan
uk: Запустити сканування

en: Download Report
uk: Завантажити звіт

en: Grade based on 6 scored headers — aligned with SecurityHeaders.com
uk: Оцінка на основі 6 оцінених заголовків — відповідно до SecurityHeaders.com

en: Forces HTTPS. Blocks eavesdropping.
uk: Примусово використовує протокол HTTPS. Запобігає прослуховуванню.

en: Controls allowed resources. Blocks XSS.
uk: Контролює дозволені ресурси. Блокує XSS.

en: Prevents MIME-sniffing attacks.
uk: Запобігає атакам типу «MIME-sniffing».

en: Blocks clickjacking via iframes.
uk: Запобігає клікджекінгу через iframe.

en: Controls referrer info. Protects privacy.
uk: Контролює інформацію про джерело переходу. Захищає конфіденційність.

en: Controls camera, mic, location access.
uk: Керує доступом до камери, мікрофона та місцезнаходження.

en: Isolates from cross-origin pop-ups.
uk: Ізолює спливаючі вікна з інших доменів.

en: Controls cross-origin resource loading.
uk: Керує завантаженням ресурсів з інших доменів.

en: Controls who can load your resources.
uk: Визначає, хто може завантажувати ваші ресурси.

en: Blocks Flash/PDF cross-domain data.
uk: Блокує передачу даних між доменами у форматі Flash/PDF.

en: Active
uk: Активний

en: BONUS HEADERS
uk: ДОДАТКОВІ ЗАГОЛОВКИ

en: Extra protection — not scored by SecurityHeaders.com
uk: Додатковий захист — не оцінено сайтом SecurityHeaders.com

en: Not set
uk: Не вказано

en: Score Trend
uk: Динаміка результатів

en: Tracks your security score over time. Each dot represents a scan. Hover to see details. Drops indicate a header was removed or misconfigured.
uk: Відстежує ваш рівень безпеки з плином часу. Кожна крапка відповідає одному скануванню. Наведіть курсор, щоб переглянути деталі. Крапки, що зникають, вказують на те, що заголовок було видалено або налаштовано неправильно.

en: Week
uk: Тиждень

en: Month
uk: Місяць

en: Year
uk: Рік

en: A / A+
uk: А / А+

en: %d scans
uk: %d сканів

en: Scan History (%d)
uk: Історія сканування (%d)

en: Grade
uk: Клас

en: Score
uk: Оцінка

en: Date
uk: Дата

en: Issues
uk: Випуски

en: CSP configuration guide with recommended tools, best practices, and real-time violation analytics to monitor what browsers are blocking on your site.
uk: Посібник з налаштування CSP, що містить перелік рекомендованих інструментів, найкращі практики та аналітику порушень у режимі реального часу для відстеження того, що саме блокують браузери на вашому сайті.

en: CSP Guide
uk: Посібник з CSP

en: Content Security Policy — The Right Way
uk: Політика безпеки вмісту — правильний підхід

en: CSP is the most powerful protection against XSS attacks, but every site is different. Page builders, third-party plugins, analytics, ads, and JavaScript-loaded resources all need to be included. No automated tool can guarantee a complete CSP — the safest approach is: start with Report-Only, monitor real violations, then build your policy from real data.
uk: CSP — це найефективніший засіб захисту від XSS-атак, але кожен сайт має свої особливості. Необхідно враховувати всі елементи: конструктори сторінок, сторонні плагіни, аналітичні інструменти, рекламу та ресурси, що завантажуються за допомогою JavaScript. Жоден автоматизований інструмент не може гарантувати створення повної політики CSP — найбезпечніший підхід полягає в тому, щоб почати з режиму «Report-Only», відстежувати реальні порушення, а потім формувати політику на основі реальних даних.

en: Recommended Tools
uk: Рекомендовані інструменти

en: Browser extension. Monitors real resources loaded in your browser. The most accurate way to build a CSP. Free Chrome/Firefox extension.
uk: Розширення для браузера. Відстежує фактичні ресурси, що завантажуються у вашому браузері. Найточніший спосіб створення CSP. Безкоштовне розширення для Chrome/Firefox.

en: Google CSP Evaluator
uk: Оцінювач Google CSP

en: Paste your CSP to check for bypasses, unsafe directives, and missing protections. Free by Google.
uk: Вставте свій CSP, щоб перевірити наявність обходів, небезпечних директив та відсутніх засобів захисту. Безкоштовно від Google.

en: Report URI
uk: Посилання на звіт

en: Professional CSP violation monitoring with dashboard and alerts. Free tier available. Paste the URL in Settings → CSP Report URI.
uk: Професійний моніторинг порушень CSP з інформаційною панеллю та сповіщеннями. Доступний безкоштовний тарифний план. Вставте URL-адресу в розділі «Налаштування» → «URI звіту CSP».

en: Modern CSP/security reporting. 10,000 reports/month free. Excellent for high-traffic sites.
uk: Сучасна звітність щодо CSP та безпеки. 10 000 звітів на місяць безкоштовно. Ідеально підходить для сайтів із великим трафіком.

en: Safe Workflow (Step by Step)
uk: Безпечний робочий процес (покрокова інструкція)

en: Install the Csper.io browser extension (free) and browse your site. It records every resource loaded.
uk: Встановіть розширення для браузера Csper.io (безкоштовне) і переглядайте свій сайт. Воно фіксує кожен завантажений ресурс.

en: Export the generated CSP from Csper.io.
uk: Експортуйте CSP-файл, створений на Csper.io.

en: Validate it on Google CSP Evaluator — fix any warnings.
uk: Перевірте його за допомогою Google CSP Evaluator — усуньте всі попередження.

en: Paste the CSP into Settings → CSP Header Contents with "Content-Security-Policy-Report-Only" first (enable in your server config or use a Report URI service).
uk: Вставте CSP у розділ «Налаштування» → «Вміст заголовка CSP», попередньо вказавши «Content-Security-Policy-Report-Only» (увімкніть цю опцію у конфігурації сервера або скористайтеся службою Report URI).

en: Monitor CSP Analytics (tab above) for 7+ days — add missing domains.
uk: Протягом 7 днів і більше стежте за даними CSP Analytics (вкладка вище) — додавайте доменів, яких не вистачає.

en: When zero violations: switch to enforced mode in Settings → CSP Header Contents.
uk: Якщо порушень немає: увімкніть примусовий режим у розділі «Налаштування» → «Вміст заголовка CSP».

en: Common CSP Directives for WordPress
uk: Загальні директиви CSP для WordPress

en: Copy and adapt these for your site. Each line is a separate service.
uk: Скопіюйте ці рядки та адаптуйте їх для свого сайту. Кожен рядок відповідає окремій послузі.

en: # Minimum safe CSP for WordPress
uk: # Мінімальний безпечний CSP для WordPress

en: # Add for Google Fonts
uk: # Додати для Google Fonts

en: # Add for Google Analytics / GTM
uk: # Додати для Google Analytics / GTM

en: # Add for YouTube embeds
uk: # Додати для вбудованих відео з YouTube

en: # Add for Stripe (WooCommerce)
uk: # Додати для Stripe (WooCommerce)

en: # Add for Elementor
uk: # Додати для Elementor

en: // required for Elementor editor
uk: // необхідний для редактора Elementor

en: # Add for Facebook Pixel
uk: # Додати для Facebook Pixel

en: CSP FAQ
uk: Часті запитання щодо CSP

en: What is CSP?
uk: Що таке CSP?

en: Content Security Policy is an HTTP header that tells browsers which resources (scripts, styles, images, fonts, frames) are allowed to load on your page. Anything not listed is blocked. It is the most effective protection against XSS (Cross-Site Scripting) attacks.
uk: Політика безпеки вмісту (Content Security Policy) — це заголовок HTTP, який вказує браузерам, які ресурси (скрипти, стилі, зображення, шрифти, фрейми) дозволено завантажувати на вашу сторінку. Усе, що не вказано в цьому списку, блокується. Це найефективніший засіб захисту від атак типу XSS (міжсайтовий скриптинг).

en: Will CSP break my site?
uk: Чи може CSP зіпсувати роботу мого сайту?

en: Only if you enforce a policy that is too restrictive. That is why you should always start with Report-Only mode: it logs violations without blocking anything. Monitor for 7+ days, fix the policy, then enforce.
uk: Лише у тому випадку, якщо ви застосовуєте занадто жорсткі налаштування. Саме тому завжди слід починати з режиму «Тільки звіт»: він реєструє порушення, не блокуючи доступ. Простежте за ситуацією протягом 7 днів або більше, скоригуйте налаштування, а потім застосуйте їх.

en: Why does WordPress need unsafe-inline?
uk: Чому WordPress потребує плагіна unsafe-inline?

en: WordPress core, most themes, and most plugins output inline scripts and styles directly in the HTML. Without unsafe-inline, these would be blocked. The ideal solution is nonce-based CSP, but most WordPress plugins do not support it yet.
uk: Ядро WordPress, більшість тем та плагінів виводять вбудовані скрипти та стилі безпосередньо в HTML-коді. Без параметра unsafe-inline вони були б заблоковані. Ідеальним рішенням є CSP на основі nonce, але більшість плагінів WordPress поки що його не підтримують.

en: Why does Elementor need unsafe-eval?
uk: Чому Elementor потребує unsafe-eval?

en: Elementor and some page builders use JavaScript eval() to process templates and widgets dynamically. Without unsafe-eval, the editor and some frontend features break. This is a known limitation of these builders.
uk: Elementor та деякі конструктори сторінок використовують функцію eval() у JavaScript для динамічної обробки шаблонів і віджетів. Без плагіна unsafe-eval редактор та деякі функції інтерфейсу перестають працювати. Це відоме обмеження цих конструкторів.

en: What is Report-Only mode?
uk: Що таке режим «Тільки для перегляду»?

en: Your server sends the CSP with the header Content-Security-Policy-Report-Only instead of Content-Security-Policy. The browser checks the policy but does NOT block anything — it only sends violation reports. Perfect for testing before going live.
uk: Ваш сервер надсилає CSP із заголовком Content-Security-Policy-Report-Only замість Content-Security-Policy. Браузер перевіряє політику, але НІЧОГО не блокує — він лише надсилає звіти про порушення. Ідеально підходить для тестування перед запуском у виробництво.

en: How do I find which domains to add?
uk: Як дізнатися, які домени додати?

en: Three ways: 1) Use the Csper.io browser extension while browsing your site. 2) Check the CSP Analytics tab for violations reported by real visitors. 3) Open Chrome DevTools → Console tab and look for CSP violation errors.
uk: Три способи: 1) Використовуйте розширення для браузера Csper.io під час перегляду вашого сайту. 2) Перегляньте вкладку «CSP Analytics», щоб перевірити порушення, про які повідомили реальні відвідувачі. 3) Відкрийте Chrome DevTools → вкладку «Консоль» і знайдіть помилки, пов’язані з порушеннями CSP.

en: What is a CSP Report URI?
uk: Що таке URI звіту CSP?

en: A URL where the browser sends JSON violation reports. You can use external services (Report URI, URIports, Sentry) or the built-in Shield CSP Analytics endpoint. Configure it in Settings → CSP Report URI.
uk: URL-адреса, на яку браузер надсилає звіти про порушення JSON. Ви можете використовувати зовнішні сервіси (Report URI, URIports, Sentry) або вбудовану кінцеву точку Shield CSP Analytics. Налаштуйте її в меню «Налаштування» → «URI звіту CSP».

en: Can I use Shield CSP Analytics and an external service together?
uk: Чи можна одночасно використовувати Shield CSP Analytics та зовнішній сервіс?

en: The browser sends reports to the URL configured in the CSP header. You can only have one report-uri per policy. For basic monitoring, Shield Analytics is enough. For high-traffic professional sites, use URIports or Report URI.
uk: Браузер надсилає звіти на URL-адресу, вказану в заголовку CSP. Для кожної політики можна вказати лише один Report-URI. Для базового моніторингу достатньо Shield Analytics. Для професійних сайтів із великим трафіком використовуйте URIports або Report URI.

en: Monitors Content Security Policy violations reported by browsers. Shows which resources are being blocked and where.
uk: Відстежує порушення політики безпеки вмісту, про які повідомляють браузери. Показує, які ресурси блокуються та де саме.

en: Total violations
uk: Загальна кількість порушень

en: Last 24h
uk: За останні 24 години

en: Last 7 days
uk: Останні 7 днів

en: Top blocked domains
uk: Найпопулярніші заблоковані домени

en: Top violated directives
uk: Найчастіше порушувані директиви

en: No CSP violations recorded yet.
uk: Поки що порушень CSP зафіксовано не було.

en: Configure a Report URI in Settings → CSP Report URI, or follow the CSP Guide to get started.
uk: Налаштуйте URI звіту в розділі «Налаштування» → «URI звіту CSP» або скористайтеся посібником з CSP, щоб розпочати роботу.

en: Email alerts and webhook notifications to Slack, Discord, Microsoft Teams, or any custom endpoint. Get alerted when your security score drops, a header is removed, or critical issues are found.
uk: Повідомлення електронною поштою та через веб-хуки у Slack, Discord, Microsoft Teams або будь-яку іншу вказану вами адресу. Отримуйте сповіщення, коли знижується ваш показник безпеки, видаляється заголовок або виявляються критичні проблеми.

en: Get alerted when something changes. Configure once, then forget.
uk: Отримуйте сповіщення про зміни. Налаштуйте один раз — і більше не турбуйтеся.

en: Email Alerts
uk: Сповіщення електронною поштою

en: Receives alerts on score drops, header changes, critical issues.
uk: Отримує сповіщення про зниження оцінок, зміни заголовків та критичні проблеми.

en: Custom Webhook (JSON)
uk: Налаштований веб-хук (JSON)

en: Setup guide
uk: Посібник з налаштування

en: Notify when:
uk: Повідомляти, коли:

en: Every scan (including clean)
uk: Кожне сканування (включно з очищенням)

en: Save Notification Settings
uk: Зберегти налаштування сповіщень

en: Saved!
uk: Збережено!

en: Export / Import Settings
uk: Експорт / Імпорт налаштувань

en: Export your security header configuration and import it on other sites. Ideal for agencies and freelancers managing multiple WordPress installations.
uk: Експортуйте налаштування заголовка безпеки та імпортуйте їх на інші сайти. Ідеально підходить для агентств та фрілансерів, які керують декількома інсталяціями WordPress.

en: Export
uk: Експорт

en: Download a JSON file with all your security header settings. Does not include license key.
uk: Завантажте файл JSON із усіма налаштуваннями заголовків безпеки. Ліцензійний ключ не включено.

en: Export Settings
uk: Налаштування експорту

en: Import
uk: Імпорт

en: Upload a previously exported JSON file. This will overwrite your current settings.
uk: Завантажте раніше експортований файл JSON. Це призведе до заміни ваших поточних налаштувань.

en: Import Settings
uk: Налаштування імпорту

en: Exported settings include:
uk: Експортовані налаштування включають:

en: HSTS (max-age, includeSubDomains, preload), CSP Header Contents, CSP Report URI, Permissions Policy, X-Frame-Options, all header enable/disable toggles, and webhook/notification URLs. License key and scan history are NOT exported.
uk: HSTS (max-age, includeSubDomains, preload), вміст заголовка CSP, URI звіту CSP, політика дозволів, X-Frame-Options, усі перемикачі увімкнення/вимкнення заголовків, а також URL-адреси веб-хуків та сповіщень. Ліцензійний ключ та історія сканування НЕ експортуються.

en: License key
uk: Ліцензійний ключ

en: Expires
uk: Завершується

en: Deactivate License
uk: Деактивувати ліцензію

en: Enter your license key to unlock Shield features. The free version will always remain fully functional.
uk: Введіть ліцензійний ключ, щоб розблокувати функції Shield. Безкоштовна версія завжди залишатиметься повністю функціональною.

en: Activate
uk: Активувати

en: Don't have a license? %1$sGet Shield%2$s
uk: Не маєте ліцензії? %1$sОтримати Shield%2$s

en: Free forever. Shield for those who want more.
uk: Безкоштовно назавжди. Shield — для тих, хто хоче більше.

en: Every feature this plugin has offered since day one remains completely free — no limits, no paywalls, no "lite" restrictions. That will never change. Shield is a separate set of brand-new advanced tools (Security Advisor, automated scanning, real-time alerts) built for professionals who want deeper monitoring.
uk: Усі функції, які цей плагін пропонував з самого початку, залишаються повністю безкоштовними — без обмежень, без платного доступу та без обмежень «lite»-версії. Це ніколи не зміниться. Shield — це окремий набір новітніх розширених інструментів (Security Advisor, автоматичне сканування, сповіщення в режимі реального часу), створений для професіоналів, які потребують більш глибокого моніторингу.

en: Revenue from Shield goes directly into maintaining and improving the free plugin for everyone.
uk: Доходи від Shield йдуть безпосередньо на підтримку та вдосконалення безкоштовного плагіна для всіх користувачів.

en: Free
uk: Безкоштовно

en: Forever
uk: Назавжди

en: Free forever
uk: Вільні назавжди

en: 10+ security headers
uk: 10+ заголовків безпеки

en: HSTS Preload
uk: Попереднє завантаження HSTS

en: CSP / Permissions Policy
uk: CSP / Політика дозволів

en: Duplicate header resolver
uk: Механізм вирішення дублікатів заголовків

en: .htaccess support
uk: Підтримка файлів .htaccess

en: Community support
uk: Підтримка громади

en: 1 site
uk: 1 сайт

en: per year
uk: в рік

en: month
uk: місяць

en: All Free features, plus:
uk: Усі безкоштовні функції, а також:

en: Security Dashboard & Advisor
uk: Панель управління безпекою та порадник

en: Score Trend chart (week/month/year)
uk: Графік динаміки результатів (тиждень/місяць/рік)

en: PDF Security Report (before/after)
uk: Звіт про безпеку PDF-файлів (до/після)

en: CSP Guide & Analytics
uk: Посібник та аналітика CSP

en: Email & webhook alerts
uk: Сповіщення електронною поштою та через веб-хуки

en: Export / Import settings
uk: Експорт / Імпорт налаштувань

en: Weekly automated scans
uk: Щотижневі автоматичні перевірки

en: Get Shield
uk: Отримати Shield

en: BEST VALUE
uk: НАЙКРАЩЕ Співвідношення ціни та якості

en: per year, unlimited sites
uk: на рік, необмежена кількість сайтів

en: Everything in Shield
uk: Все в Shield

en: Unlimited site activations
uk: Необмежена кількість активацій сайтів

en: Ideal for agencies
uk: Ідеально підходить для агентств

en: Ideal for freelancers
uk: Ідеально підходить для фрілансерів

en: Priority support
uk: Пріоритетна підтримка

en: $29/site? With 4+ sites you save
uk: 29 доларів за сайт? При замовленні 4 і більше сайтів ви заощаджуєте

en: Get Unlimited
uk: Отримайте необмежений доступ

en: by %1$sAndrea Ferro%2$s
uk: автор: %1$sАндреа Ферро%2$s

en: Review
uk: Відгук

en: Support
uk: Підтримка

en: Frequently Asked Questions
uk: Запитання

en: Everything you need to know about security headers, this plugin, and Pro.
uk: Все, що потрібно знати про заголовки безпеки, цей плагін та версію Pro.

en: Search FAQ...
uk: Пошук у розділі «Часті запитання»...

en: No results found.
uk: Нічого не знайдено.

en: All
uk: Все

en: General
uk: Загальні

en: Headers
uk: Заголовки

en: Troubleshooting
uk: Вирішення проблем

en: What does this plugin do?
uk: Що робить цей плагін?

en: Adds HTTP security headers to your WordPress site: HSTS, CSP, Permissions Policy, X-Frame-Options, and more. These headers tell browsers how to protect visitors from attacks like XSS, clickjacking, and protocol downgrades.
uk: Додає на ваш сайт WordPress захисні заголовки HTTP: HSTS, CSP, Permissions Policy, X-Frame-Options та інші. Ці заголовки вказують браузерам, як захищати відвідувачів від таких атак, як XSS, клікджекінг та пониження версії протоколу.

en: Will this plugin slow down my site?
uk: Чи сповільнить цей плагін роботу мого сайту?

en: No. Headers add less than 1KB to each response. The plugin uses WordPress native hooks and Apache .htaccess. Zero database queries at page load for visitors.
uk: Ні. Заголовки додають менше 1 КБ до кожного відповіді. Плагін використовує вбудовані хуки WordPress та файл .htaccess Apache. Під час завантаження сторінки для відвідувачів не виконується жодного запиту до бази даних.

en: Is the free version really free forever?
uk: Чи справді безкоштовна версія залишається безкоштовною назавжди?

en: Yes. Every security header, every configuration option, every protection this plugin offers today will remain completely free. No features will ever be moved behind a paywall. Shield is a separate set of brand-new tools (Security Advisor, CSP generator, monitoring) built on top. Revenue from Shield funds free updates for all users.
uk: Так. Усі заголовки безпеки, усі параметри налаштування та всі засоби захисту, які цей плагін пропонує сьогодні, залишаться повністю безкоштовними. Жодна функція ніколи не стане платною. Shield — це окремий набір абсолютно нових інструментів (Security Advisor, генератор CSP, моніторинг), створений на базі цього плагіна. Доходи від Shield йдуть на фінансування безкоштовних оновлень для всіх користувачів.

en: Why did you introduce Shield if the plugin was always free?
uk: Навіщо ви запустили Shield, якщо плагін і так завжди був безкоштовним?

en: Maintaining a plugin used by 100,000+ sites is a serious responsibility. Security updates, WordPress compatibility, support requests, and new browser standards all require constant work. For years, "Buy me a coffee" donations covered a fraction of that effort. Shield lets professionals who need advanced features (security analysis, automated scanning, real-time alerts) pay a fair price, and that revenue funds continued free development for everyone. The free plugin gets better because Shield exists, not worse.
uk: Підтримка плагіна, яким користуються понад 100 000 сайтів, — це серйозна відповідальність. Оновлення безпеки, сумісність із WordPress, запити на підтримку та нові стандарти браузерів вимагають постійної роботи. Протягом багатьох років пожертви за програмою «Купи мені каву» покривали лише частину цих витрат. Shield дозволяє професіоналам, яким потрібні розширені функції (аналіз безпеки, автоматичне сканування, сповіщення в режимі реального часу), платити справедливу ціну, а отримані кошти фінансують подальшу безкоштовну розробку для всіх. Завдяки Shield безкоштовний плагін стає кращим, а не гіршим.

en: Does it work with Nginx / LiteSpeed / IIS?
uk: Чи працює це з Nginx / LiteSpeed / IIS?

en: Yes. The PHP wp_headers filter works on any server. The .htaccess method is Apache-only but the PHP method handles Nginx, LiteSpeed, and IIS automatically.
uk: Так. Фільтр PHP wp_headers працює на будь-якому сервері. Метод із використанням файлу .htaccess доступний лише для Apache, тоді як метод PHP автоматично підтримує Nginx, LiteSpeed та IIS.

en: Is it compatible with caching plugins?
uk: Чи сумісний він із плагінами кешування?

en: Yes. Works with WP Super Cache, W3 Total Cache, LiteSpeed Cache, WP Rocket. For Varnish or Cloudflare full-page cache, the .htaccess method sets headers at server level.
uk: Так. Сумісний із WP Super Cache, W3 Total Cache, LiteSpeed Cache та WP Rocket. Для повносторінкового кешування за допомогою Varnish або Cloudflare метод .htaccess налаштовує заголовки на рівні сервера.

en: Will it conflict with other security plugins?
uk: Чи не виникне конфлікту з іншими плагінами безпеки?

en: Rarely. If another plugin sets the same headers, use the "Resolve duplicate headers" checkboxes in Settings to let one source handle each header.
uk: Рідко. Якщо інший плагін встановлює ті самі заголовки, скористайтеся прапорцями «Вирішити проблему дублювання заголовків» у налаштуваннях, щоб кожен заголовок оброблявся лише одним джерелом.

en: Which WordPress versions are supported?
uk: Які версії WordPress підтримуються?

en: WordPress 4.7 and above. Uses only WordPress core APIs with no external dependencies.
uk: WordPress 4.7 і вище. Використовує лише основні API WordPress без зовнішніх залежностей.

en: What is HSTS and why do I need it?
uk: Що таке HSTS і навіщо це потрібно?

en: HSTS forces browsers to always use HTTPS. Without it, attackers can intercept the first HTTP request before redirect. With HSTS, browsers never try plain HTTP.
uk: HSTS змушує браузери завжди використовувати HTTPS. Без нього зловмисники можуть перехопити перший HTTP-запит до перенаправлення. З HSTS браузери ніколи не намагаються використовувати звичайний HTTP.

en: What max-age should I use?
uk: Яке значення параметра max-age слід використовувати?

en: Minimum for preload: 31536000 (1 year). Recommended: 63072000 (2 years). Start with 86400 (1 day) to test, then increase.
uk: Мінімальне значення для попереднього завантаження: 31536000 (1 рік). Рекомендоване значення: 63072000 (2 роки). Для тестування почніть із значення 86400 (1 день), а потім збільшуйте його.

en: Should I enable HSTS Preload?
uk: Чи варто ввімкнути попереднє завантаження HSTS?

en: Only if your entire domain (including all subdomains) works over HTTPS. Preload is hardcoded in browsers and difficult to undo. Removal takes months. Test thoroughly first.
uk: Тільки якщо весь ваш домен (включно з усіма піддоменами) працює через HTTPS. Функція попереднього завантаження жорстко вбудована в браузери, і її важко скасувати. На її видалення можуть піти місяці. Спочатку ретельно все протестуйте.

en: HSTS broke my site. How to fix?
uk: HSTS зіпсував роботу мого сайту. Як це виправити?

en: Disable HSTS in plugin settings. Clear browser HSTS cache: Chrome chrome://net-internals/#hsts, search domain, click Delete. If on preload list, submit removal at hstspreload.org.
uk: Вимкніть HSTS у налаштуваннях плагіна. Очистіть кеш HSTS у браузері: у Chrome — chrome://net-internals/#hsts, знайдіть домен, натисніть «Видалити». Якщо сайт є у списку попереднього завантаження, подайте заявку на його видалення на сайті hstspreload.org.

en: Content Security Policy tells browsers exactly which resources can load on your pages and from which domains. Everything not allowed is blocked. The strongest protection against XSS attacks.
uk: Політика безпеки вмісту (Content Security Policy) вказує браузерам, які саме ресурси та з яких доменів можна завантажувати на ваші сторінки. Усе, що не дозволено, блокується. Найпотужніший захист від XSS-атак.

en: Why is CSP hard to configure?
uk: Чому CSP так складно налаштовувати?

en: WordPress sites load resources from many sources: theme, plugins, Google Fonts, analytics, CDNs. CSP must list every legitimate source. Miss one and something breaks. Follow the CSP Guide in Shield for tools and step-by-step instructions.
uk: Сайти WordPress завантажують ресурси з багатьох джерел: теми, плагіни, Google Fonts, аналітичні сервіси, CDN. У CSP необхідно вказати всі легітимні джерела. Якщо пропустити хоча б одне, щось перестане працювати. Скористайтеся посібником із CSP у Shield, де ви знайдете інструменти та покрокові інструкції.

en: What does unsafe-inline mean?
uk: Що означає «unsafe-inline»?

en: Allows inline scripts/styles in HTML. Most WordPress themes need it. Having CSP with unsafe-inline is still much better than no CSP. For maximum security, use nonce-based CSP.
uk: Дозволяє вбудовувати скрипти та стилі безпосередньо в HTML. Це потрібно для більшості тем WordPress. Налаштування CSP із параметром «unsafe-inline» все одно набагато краще, ніж повна відсутність CSP. Для максимальної безпеки використовуйте CSP на основі nonce.

en: CSP is blocking something. How to fix?
uk: CSP щось блокує. Як це виправити?

en: Open browser Dev Tools (F12), check Console for CSP violations. They show exactly which resource was blocked. Add that domain to the correct directive in your CSP.
uk: Відкрийте інструменти розробника в браузері (F12) і перевірте консоль на наявність порушень CSP. Там буде вказано, який саме ресурс було заблоковано. Додайте цей домен до відповідної директиви у вашому CSP.

en: Sends CSP as Report-Only header. Browser evaluates the policy but blocks nothing — only reports violations. Perfect for testing a new CSP safely before enforcing.
uk: Надсилає CSP як заголовок «Report-Only». Браузер аналізує політику, але нічого не блокує — лише повідомляє про порушення. Ідеально підходить для безпечного тестування нової політики CSP перед її впровадженням.

en: What is X-Frame-Options?
uk: Що таке X-Frame-Options?

en: Controls iframe embedding. DENY blocks all framing, SAMEORIGIN allows only your domain. Prevents clickjacking attacks. ALLOW-FROM is deprecated — use CSP frame-ancestors instead.
uk: Керує вбудовуванням iframe. DENY блокує будь-яке вбудовування, SAMEORIGIN дозволяє вбудовування лише з вашого домену. Запобігає атакам типу «clickjacking». ALLOW-FROM є застарілим — замість нього використовуйте CSP frame-ancestors.

en: What is Permissions-Policy?
uk: Що таке політика доступу?

en: Controls browser APIs: camera, microphone, geolocation, payment, USB. Setting them to () disables access, preventing malicious scripts from using sensitive features.
uk: Керує API-інтерфейсами браузера: камера, мікрофон, геолокація, оплата, USB. Встановлення для них значення () блокує доступ, запобігаючи використанню конфіденційних функцій зловмисними скриптами.

en: What is X-Content-Type-Options?
uk: Що таке X-Content-Type-Options?

en: The nosniff value prevents browsers from guessing file types. Stops MIME-confusion attacks where text files get executed as scripts. No reason not to enable it.
uk: Параметр nosniff не дозволяє браузерам визначати типи файлів. Це запобігає атакам типу «MIME-confusion», під час яких текстові файли виконуються як скрипти. Немає жодних причин не вмикати цю опцію.

en: What is Referrer-Policy?
uk: Що таке Referrer-Policy?

en: Controls what URL info is sent when users click links. Recommended: strict-origin-when-cross-origin. Protects privacy by not leaking URL paths to external sites.
uk: Контролює, яка інформація про URL надсилається, коли користувачі натискають на посилання. Рекомендовано: strict-origin-when-cross-origin. Захищає конфіденційність, запобігаючи витоку шляхів до URL-адрес зовнішніх сайтів.

en: What are COOP, COEP, CORP?
uk: Що таке COOP, COEP, CORP?

en: Cross-Origin isolation headers. COOP isolates from pop-ups, COEP requires explicit cross-origin permission, CORP controls who loads your resources. Together they block Spectre-type attacks.
uk: Заголовки ізоляції міждоменного доступу. COOP ізолює від спливаючих вікон, COEP вимагає явного дозволу на міждоменний доступ, а CORP контролює, хто завантажує ваші ресурси. Разом вони блокують атаки типу Spectre.

en: Duplicate header warnings — how to fix?
uk: Попередження про дублювання заголовків — як це виправити?

en: Happens when both server and plugin set the same header. Use "Resolve duplicate headers" checkboxes in Settings. Verify with SecurityHeaders.com or curl -I.
uk: Це трапляється, коли і сервер, і плагін встановлюють однаковий заголовок. Встановіть прапорці «Вирішити проблему дублювання заголовків» у налаштуваннях. Перевірте за допомогою SecurityHeaders.com або команди `curl -I`.

en: Site broke after changing settings
uk: Сайт перестав працювати після зміни налаштувань

en: Disable headers one at a time using Settings checkboxes. Usually CSP is the cause. You can also deactivate the plugin as emergency fix — all headers removed, no data lost.
uk: Вимкніть заголовки по одному за допомогою прапорців у налаштуваннях. Зазвичай причиною є CSP. Ви також можете тимчасово вимкнути плагін як екстрене рішення — усі заголовки будуть видалені, дані не втратяться.

en: Headers not showing up
uk: Заголовки не відображаються

en: Check: (1) Plugin activated? (2) Verify with SecurityHeaders.com. (3) CDN stripping headers? Check CDN settings. (4) Full-page cache? Clear it. (5) Managed hosting overriding?
uk: Перевірте: (1) Чи активовано плагін? (2) Перевірте на сайті SecurityHeaders.com. (3) Чи CDN видаляє заголовки? Перевірте налаштування CDN. (4) Чи ввімкнено кешування всієї сторінки? Очистіть кеш. (5) Чи не перекриваються налаштування на хостингу?

en: How to check my headers?
uk: Як перевірити заголовки?

en: Three ways: SecurityHeaders.com (paste URL), browser Dev Tools (F12 > Network > first request > Response Headers), or command line: curl -I https://yoursite.com
uk: Три способи: SecurityHeaders.com (вставте URL-адресу), інструменти розробника браузера (F12 > Мережа > перший запит > Заголовки відповіді) або командний рядок: curl -I https://yoursite.com

en: SecurityHeaders.com shows bad grade
uk: SecurityHeaders.com показує низьку оцінку

en: Usually means CSP not configured or using only default. Configure all headers in Settings. The Shield Security Advisor shows exactly what to fix for each grade improvement.
uk: Зазвичай це означає, що CSP не налаштовано або використовуються лише налаштування за замовчуванням. Налаштуйте всі заголовки в розділі «Налаштування». Shield Security Advisor показує, що саме потрібно виправити для підвищення кожної оцінки.

en: WooCommerce / page builder stopped working
uk: WooCommerce / конструктор сторінок перестав працювати

en: CSP blocking needed resources. Check Dev Tools Console. Common: Stripe (js.stripe.com), PayPal (www.paypal.com), Google Maps, YouTube. Check the CSP Guide in Shield for common WordPress directives and recommended tools.
uk: CSP блокує необхідні ресурси. Перевірте консоль Dev Tools. Типові приклади: Stripe (js.stripe.com), PayPal (www.paypal.com), Google Maps, YouTube. Ознайомтеся з посібником з CSP у Shield, щоб дізнатися про типові директиви WordPress та рекомендовані інструменти.

en: wp-admin or REST API issues
uk: Проблеми з wp-admin або REST API

en: Likely X-Frame-Options DENY (admin uses iframes) or CSP blocking inline scripts. Set X-Frame to SAMEORIGIN, ensure CSP has unsafe-inline for script-src and style-src.
uk: Ймовірно, це пов’язано з налаштуванням X-Frame-Options на DENY (адміністратор використовує iframe) або з блокуванням вбудованих скриптів за допомогою CSP. Встановіть для X-Frame-Options значення SAMEORIGIN та переконайтеся, що в налаштуваннях CSP для параметрів script-src і style-src вказано unsafe-inline.

en: What does Security Advisor do?
uk: Чим займається Security Advisor?

en: Analyzes your configuration, generates personalized recommendations in plain language. Runs 100% locally — no external data, no API costs, no privacy concerns. Shows what to fix, why, how, and the score impact.
uk: Аналізує вашу конфігурацію та формулює індивідуальні рекомендації простою мовою. Працює повністю автономно — без зовнішніх даних, без витрат на API та без проблем із конфіденційністю. Показує, що потрібно виправити, чому, як це зробити та як це вплине на рейтинг.

en: How do I build a CSP with Shield?
uk: Як створити CSP за допомогою Shield?

en: Shield provides a CSP Guide with recommended tools (Csper.io browser extension, Google CSP Evaluator), ready-to-use code snippets for WordPress, and CSP Analytics that collects real violation data from your visitors. Follow the safe workflow: generate with Csper.io, validate, test in Report-Only, monitor, then enforce.
uk: Shield пропонує посібник із CSP, що містить рекомендовані інструменти (розширення для браузера Csper.io, Google CSP Evaluator), готові до використання фрагменти коду для WordPress, а також CSP Analytics, який збирає реальні дані про порушення від ваших відвідувачів. Дотримуйтесь безпечного алгоритму дій: створіть політику за допомогою Csper.io, перевірте її, протестуйте в режимі «Report-Only», відстежуйте, а потім застосуйте.

en: What happens when Shield license expires?
uk: Що відбувається, коли термін дії ліцензії Shield закінчується?

en: Site stays protected. Reverts to free. All headers keep working. You lose Shield features (dashboard, advisor, alerts, analytics). Your CSP stays active. Nothing breaks.
uk: Сайт залишається захищеним. Переходить на безкоштовну версію. Усі заголовки продовжують працювати. Ви втрачаєте функції Shield (панель управління, порадник, сповіщення, аналітика). Ваш CSP залишається активним. Нічого не виходить з ладу.

en: Multiple sites?
uk: Кілька сайтів?

en: Shield ($29/year) covers 1 site. Shield Unlimited ($99/year) covers unlimited sites with the same license key. Perfect for agencies and freelancers.
uk: Пакет «Shield» (29 доларів на рік) діє для 1 веб-сайту. Пакет «Shield Unlimited» (99 доларів на рік) діє для необмеженої кількості веб-сайтів за одним ліцензійним ключем. Ідеально підходить для агентств та фрілансерів.

en: How do webhook notifications work?
uk: Як працюють сповіщення через веб-хуки?

en: Send scan results to Slack, Discord, Teams, or custom URL (JSON). Triggered when score drops, headers change, or critical issues found. Each has a Test button. Custom webhook sends full scan data for automation.
uk: Надсилайте результати сканування до Slack, Discord, Teams або на вказану URL-адресу (у форматі JSON). Повідомлення надсилаються у разі зниження рейтингу, зміни заголовків або виявлення критичних проблем. Кожна опція має кнопку «Перевірити». Налаштований веб-хук надсилає повні дані сканування для автоматизації.

en: How does Export/Import work?
uk: Як працює функція «Експорт/Імпорт»?

en: Export downloads a JSON file with all header settings (HSTS, CSP, Permissions Policy, toggles, webhook URLs). Import uploads the file to another site. License key is never exported. Ideal for agencies deploying the same security configuration across multiple client sites.
uk: Функція «Експорт» завантажує файл JSON із усіма налаштуваннями заголовків (HSTS, CSP, політика дозволів, перемикачі, URL-адреси веб-хуків). Функція «Імпорт» завантажує цей файл на інший сайт. Ліцензійний ключ ніколи не експортується. Ідеально підходить для агентств, які застосовують однакову конфігурацію безпеки на декількох сайтах клієнтів.

en: How is the security score calculated?
uk: Як розраховується показник безпеки?

en: The grade is based on the 6 headers scored by SecurityHeaders.com: CSP, HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, and Permissions-Policy. All 6 present without warnings = A+. All 6 with CSP warning = A. Missing 1 = B, missing 2 = C, missing 3-4 = D, missing 5+ = F. Four additional bonus headers (COOP, COEP, CORP, X-Permitted) are shown separately. This ensures our grade matches what you see on SecurityHeaders.com.
uk: Оцінка базується на 6 заголовках, які враховує SecurityHeaders.com: CSP, HSTS, X-Content-Type-Options, X-Frame-Options, Referrer-Policy та Permissions-Policy. Всі 6 присутні без попереджень = A+. Всі 6 з попередженням CSP = A. Відсутній 1 = B, відсутні 2 = C, відсутні 3-4 = D, відсутні 5+ = F. Чотири додаткові бонусні заголовки (COOP, COEP, CORP, X-Permitted) відображаються окремо. Це гарантує, що наша оцінка відповідає тому, що ви бачите на SecurityHeaders.com.

en: When do email alerts trigger?
uk: Коли надсилаються сповіщення електронною поштою?

en: Email is sent when a weekly scan or manual scan detects: score dropped compared to previous scan, a header was removed that was previously present, or critical security issues. No email is sent when everything is fine.
uk: Електронний лист надсилається, коли під час щотижневої або ручної перевірки виявляється: зниження балу порівняно з попередньою перевіркою, видалення заголовка, який раніше був присутній, або критичні проблеми безпеки. Якщо все гаразд, електронний лист не надсилається.

en: Can I change the scan frequency?
uk: Чи можна змінити частоту сканування?

en: Automated scans run weekly via WordPress cron. You can run a manual scan anytime from the Dashboard. The scan checks your own site headers via HTTP request — zero external API calls.
uk: Автоматичне сканування виконується щотижня за допомогою cron-задачі WordPress. Ви можете запустити ручне сканування в будь-який час з панелі управління. Під час сканування перевіряються заголовки вашого сайту за допомогою HTTP-запитів — без жодних зовнішніх викликів API.

en: Does Shield send data to external servers?
uk: Чи надсилає Shield дані на зовнішні сервери?

en: Only the license key is validated with Lemon Squeezy (once every 24h). All scans, analysis, and recommendations run 100% locally on your server. No header data, no site data, no visitor data ever leaves your WordPress.
uk: Lemon Squeezy перевіряє лише ліцензійний ключ (раз на 24 години). Усі перевірки, аналізи та рекомендації виконуються повністю на вашому сервері. Жодні дані заголовків, даних сайту чи відвідувачів ніколи не залишають вашу систему WordPress.

en: Does Shield work with Cloudflare?
uk: Чи сумісний Shield із Cloudflare?

en: Yes. Cloudflare passes through headers set by WordPress. If you also set headers in Cloudflare dashboard, you may get duplicates — use the Resolve duplicate headers option in Settings to fix this.
uk: Так. Cloudflare пропускає заголовки, встановлені WordPress. Якщо ви також налаштовуєте заголовки в панелі управління Cloudflare, можуть виникнути дублікати — щоб це виправити, скористайтеся опцією «Вирішити проблему дублювання заголовків» у розділі «Налаштування».

en: What does the Score Trend chart show?
uk: Що показує графік динаміки балів?

en: A visual timeline of your security score over time. Each dot is a scan. Filter by week, month, or year. Useful to spot when a hosting change, plugin update, or configuration error affected your security.
uk: Візуальна хронологія динаміки вашого показника безпеки. Кожна крапка відповідає одному скануванню. Можна фільтрувати за тижнем, місяцем або роком. Це допоможе визначити, коли зміна хостингу, оновлення плагіна або помилка в налаштуваннях вплинули на рівень вашої безпеки.

en: Payment methods?
uk: Які способи оплати?

en: Lemon Squeezy: credit/debit cards, PayPal, Apple Pay. We never see payment data. EU VAT handled automatically. Invoices in your Lemon Squeezy account.
uk: Lemon Squeezy: кредитні/дебетові картки, PayPal, Apple Pay. Ми ніколи не бачимо платіжних даних. ПДВ у ЄС обчислюється автоматично. Рахунки-фактури доступні у вашому обліковому записі Lemon Squeezy.

en: Refund policy?
uk: Політика повернення коштів?

en: 14-day full refund, no questions asked. Contact support.
uk: 14-денне право на повне повернення коштів без зайвих питань. Зверніться до служби підтримки.

en: What happens if I delete the plugin?
uk: Що станеться, якщо я видалю цей плагін?

en: Your license is automatically deactivated on Lemon Squeezy, freeing the activation slot. You can reuse the same key on another site. All plugin settings and scan history are removed from the database.
uk: Ваша ліцензія на Lemon Squeezy автоматично деактивується, звільняючи місце для активації. Ви можете повторно використати цей самий ключ на іншому сайті. Усі налаштування плагіна та історія сканування видаляються з бази даних.

en: Need more help? %1$sSupport forum%2$s or %3$sOpenHeaders.org%4$s
uk: Потрібна додаткова допомога? %1$sФорум підтримки%2$s або %3$sOpenHeaders.org%4$s

note: Description of the plugin/theme
en: Headers Security Advanced & HSTS WP - Simple, Light and Fast. The plugin uses advanced security rules that provide huge levels of protection and it is important that your site uses it. This step is important to submit your website and/or domain to an approved HSTS list. Google officially compiles this list and it is used by Chrome, Firefox, Opera, Safari, IE11 and Edge. You can forward your site to the official HSTS preload directory. Cross Site Request Forgery (CSRF) is a common attack with the installation of Headers Security Advanced & HSTS WP will help you mitigate CSRF on your WordPress site.
uk: Headers Security Advanced & HSTS WP — простий, легкий і швидкий. Цей плагін використовує розширені правила безпеки, що забезпечують високий рівень захисту, і дуже важливо, щоб ваш сайт ним користувався. Цей крок є важливим для додавання вашого веб-сайту та/або домену до затвердженого списку HSTS. Цей список офіційно складає Google, і його використовують Chrome, Firefox, Opera, Safari, IE11 та Edge. Ви можете додати свій сайт до офіційного каталогу попереднього завантаження HSTS. Cross Site Request Forgery (CSRF) — це поширений вид атаки, і встановлення Headers Security Advanced & HSTS WP допоможе вам зменшити ризик CSRF на вашому сайті WordPress.
