Saytın security-başlıqları: HSTS, CSP, X-Frame-Options nə üçündür

Səhifənin məzmunundan əlavə, server brauzerə əlavə qoruma səviyyələri aktivləşdirən xidməti HTTP başlıqları da göndərir. Onları qurmağı unutmaq asandır — hansı başlıqların olduğunu və hər birinin nədən qoruduğunu anlayaq.

Strict-Transport-Security (HSTS)

Brauzeri saytı həmişə yalnız HTTPS üzərindən açmağa məcbur edir, istifadəçi ünvanı http:// ilə yazsa belə. HSTS olmadan ilk http:// keçidi nəzəri olaraq eyni şəbəkədə olan hücumçu tərəfindən HTTPS-ə yönləndirmə işləməzdən əvvəl ələ keçirilə bilər (downgrade hücumu).

Content-Security-Policy (CSP)

Səhifənin skript, stil, şəkil və s. haradan yükləməsinə icazə verildiyini açıq şəkildə sadalayır. Bu, XSS-dən əsas qorunmadır: saytda hardasa kod inyeksiyası zəifliyi olsa belə, sərt CSP icazə verilən siyahıda olmadığı üçün brauzerin onu icra etməsinə yol vermir.

X-Frame-Options

Səhifənin başqa saytlarda <iframe> içində göstərilməsini qadağan edir. Bu, clickjacking-dən qorunmadır — fırıldaqçı sayt öz zərərsiz görünən düyməsinin üzərinə saytınızın görünməz iframe-ini (məsələn, "Köçürməni təsdiqlə" düyməsi ilə) qoyduqda.

X-Content-Type-Options

nosniff dəyəri brauzerin Content-Type-da bəyan olunandan fərqli olduqda faylın məzmun növünü özünün "təxmin etməsini" qadağan edir. Bu başlıq olmadan bəzən filtrləri ötüb faylı əsl təyinatı üzrə olmadan icra etdirmək mümkün olur.

Referrer-Policy

İstifadəçi keçidlə getdikdə cari səhifənin ünvanı haqqında üçüncü tərəf sayta nə qədər məlumat ötürüləcəyini idarə edir. Çox "səxavətli" defolt siyasət təsadüfən daxili URL-ləri (məsələn, ünvanda tokenlərlə) üçüncü tərəf saytlara açıq edə bilər.

Permissions-Policy

Səhifənin brauzerin həssas imkanlarına — geolokasiya, kamera, mikrofon və digərlərinə — girişini açıq şəkildə söndürür və ya məhdudlaşdırır, hətta daxil edilmiş hansısa üçüncü tərəf skript icazəsiz onlardan istifadə etməyə çalışsa belə.

Daha yeniləri: COOP, CORP, COEP

Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy və Cross-Origin-Embedder-Policy — brauzer vərəqini digər saytlardan proses səviyyəsində təcrid edən daha yeni başlıq qrupudur. Spectre sinfi hücumların bir hissəsindən və resurslarınızın başqa saytlar tərəfindən birbaşa yüklənməsindən qoruyur. Bütün saytlara eyni dərəcədə lazım deyil — xüsusilə COEP, düşünmədən aktivləşdirilsə, üçüncü tərəf vidgetlərin daxil edilməsini poza bilər.

Saytınızı necə yoxlamalı

az.pon.az-dakı "Security-заголовки сайта" aləti sadalanan bütün başlıqları bir sorğu ilə yoxlayır, balı göstərir (əsas başlıqlardan neçəsi quraşdırılıb) və olmayan hər biri üçün hazır başlıq sətrini göstərir — birbaşa server konfiqurasiyasına kopyalamaq olar.