用途：审计 Web 应用 HTTP/HTTPS 响应头，对照 OWASP Secure Headers Project 与浏览器安全基线，发现缺失、误配或泄露信息的头。
主要能力：抓取 HTTP 与 HTTPS 响应头并记录完整重定向链与最终 URL；评估关键头（Strict-Transport-Security 要求 max-age>=31536000、includeSubDomains、preload 资格；Content-Security-Policy 检查 unsafe-inline、unsafe-eval、过宽 default-src、缺失 frame-ancestors；X-Frame-Options 要求 DENY 或 SAMEORIGIN；X-Content-Type-Options 要求 nosniff；Permissions-Policy 检查摄像头、麦克风、地理位置限制）；评估重要头（Referrer-Policy 建议 strict-origin-when-cross-origin 或 no-referrer，以及 COEP、COOP、CORP）；检查信息泄露（Server、X-Powered-By、X-AspNet-Version 等暴露技术栈或版本的头）；检查 Set-Cookie 的 Secure、HttpOnly、SameSite=Lax|Strict 及 __Host-/__Secure- 前缀；按加权计算安全等级 A+（95-100）、A（85-94）、B（75-84）、C（65-74）、D（50-64）、F（<50）；生成逐头修复指令及 Nginx、Apache、Cloudflare 配置示例。
使用方式：提供目标域名，仅给域名时默认 https://；批量分析可传换行分隔列表。需目标可网络访问、有授权发起 HTTP 请求、具备 HTTP 与 HTTPS 连通性；可选对 ${CLAUDE_SKILL_DIR}/security-reports/ 有写权限以保存结果。输出包括总体评级、逐头状态与风险影响、按优先级排列的修复清单、Cookie 安全评估、HTTP 与 HTTPS 对比表。
适用场景：网站安全头审计、CSP 或 HSTS 问题排查、批量对比多个域名并按等级排序。
限制：需授权；可能遇到 DNS 失败、SSL 证书验证失败、重定向过多、HTTP 429 限流、HTTP 与 HTTPS 头不一致等情况，需按错误处理说明应对。具体安装与调用命令资料未提供。