HTTP-заголовки безопасности и оценка

Заголовки ответа, которые говорят браузеру, что разрешено. Вместе они определяют, что реально сможет сделать внедрённый скрипт или попытка встроить сайт в чужой фрейм.

• Помощь

Заголовки безопасности — это указания, которые сервер отправляет вместе с каждой страницей. Ошибок в коде они не исправляют, но ограничивают, чем эти ошибки можно воспользоваться. Если злоумышленнику удастся внедрить скрипт, строгая политика не даст ему подгрузить код со стороны; если кто-то встроит сайт во фрейм ради подставных кликов, браузер откажется его отрисовать.

Как считается оценка

SiteScan читает заголовки главной страницы и оценивает шесть из них: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy и Permissions-Policy. Правильно настроенный заголовок даёт 2 балла и помечается «Сильный», слишком мягкий — 1 балл и «Слабый», отсутствующий — 0. Из 12 баллов 11 и больше дают оценку A, 9 — B, 7 — C, 5 — D, 3 — E, меньше — F.

В группе есть ещё три строки, которые на оценку не влияют: HSTS preload, чтение с других origin (CORS) и метод TRACE.

Где их задавать

Заголовки добавляют в веб-сервере (add_header в nginx, Header always set в Apache), в правилах CDN или в middleware фреймворка. Задайте их один раз для всех ответов, а не постранично. Готовый набор — в статье о заголовках безопасности.