X-Content-Type-Options: nosniff

Wartość nosniff nie pozwala przeglądarce zgadywać typu pliku z jego zawartości, a właśnie tak wgrany obrazek bywa wykonywany jako skrypt.

• Pomoc

Przeglądarki dawniej „zgadywały” typ pliku: jeśli odpowiedź wyglądała jak skrypt albo HTML, traktowały ją jak skrypt albo HTML, niezależnie od zadeklarowanego typu. Pozwalało to wgrać plik udający obrazek lub tekst i zmusić przeglądarkę do jego wykonania. Nagłówek X-Content-Type-Options: nosniff wyłącza zgadywanie: przeglądarka ufa tylko Content-Type wysłanemu przez serwer i nie uruchomi skryptu ani nie zastosuje arkusza stylów, jeśli typ się nie zgadza.

Jak ocenia to SiteScan

Nagłówek ma tylko jedną poprawną wartość. Dokładnie nosniff to „Mocny”; każda inna wartość to „Słaby”, bo przeglądarki ją ignorują; brak nagłówka to „Brak”.

Jak go ustawić

• nginx: add_header X-Content-Type-Options "nosniff" always;
• Apache: Header always set X-Content-Type-Options "nosniff"

Wysyłaj go z każdą odpowiedzią, nie tylko z HTML. Przed włączeniem sprawdź, czy serwer podaje poprawne typy — text/css dla stylów, text/javascript lub application/javascript dla skryptów — inaczej te pliki przestaną się ładować. To jeden z najtańszych nagłówków i rzadko cokolwiek psuje. Pełny zestaw opisuje strona o nagłówkach bezpieczeństwa.