Nagłówki bezpieczeństwa HTTP i ocena

Nagłówki odpowiedzi mówiące przeglądarce, na co pozwolić. Razem decydują, ile naprawdę zdziała wstrzyknięty skrypt albo próba osadzenia witryny w ramce.

• Pomoc

Nagłówki bezpieczeństwa to instrukcje, które serwer wysyła razem z każdą stroną. Nie naprawiają błędów w kodzie, ale ograniczają, do czego można je wykorzystać. Jeśli atakującemu uda się wstrzyknąć skrypt, ścisła polityka nie pozwoli mu doładować kodu z zewnątrz; jeśli ktoś osadzi witrynę w ramce, by wyłudzić kliknięcia, przeglądarka odmówi jej wyświetlenia.

Jak liczona jest ocena

SiteScan odczytuje nagłówki strony głównej i ocenia sześć z nich: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy i Permissions-Policy. Poprawnie ustawiony nagłówek daje 2 punkty i status „Mocny”, obecny, ale zbyt luźny — 1 punkt i „Słaby”, brakujący — 0. Na 12 punktów 11 i więcej daje ocenę A, 9 — B, 7 — C, 5 — D, 3 — E, mniej — F.

W grupie są jeszcze trzy wiersze, które nie wpływają na ocenę: HSTS preload, odczyt cross-origin (CORS) i metoda TRACE.

Gdzie je ustawić

Nagłówki dodaje się w serwerze WWW (add_header w nginx, Header always set w Apache), w regułach CDN albo w middleware frameworka. Ustaw je raz dla wszystkich odpowiedzi, a nie strona po stronie. Gotowy zestaw znajdziesz w artykule o nagłówkach bezpieczeństwa.