X-Content-Type-Options: nosniff

Значение nosniff запрещает браузеру угадывать тип файла по содержимому — именно так загруженная картинка выполняется как скрипт.

• Помощь

Раньше браузеры «угадывали» тип файла: если ответ был похож на скрипт или HTML, они так его и обрабатывали, что бы ни было указано в заголовках. Это позволяло загрузить файл под видом картинки или текста и заставить браузер его выполнить. Заголовок X-Content-Type-Options: nosniff отключает угадывание: браузер верит только Content-Type, присланному сервером, и не выполнит скрипт и не применит стили, если тип не совпадает.

Как SiteScan это оценивает

У заголовка одно допустимое значение. Ровно nosniff — «Сильный»; любое другое — «Слабый», потому что браузеры его игнорируют; нет заголовка — «Отсутствует».

Как задать

• nginx: add_header X-Content-Type-Options "nosniff" always;
• Apache: Header always set X-Content-Type-Options "nosniff"

Отправляйте его со всеми ответами, а не только с HTML. Перед включением убедитесь, что сервер отдаёт правильные типы — text/css для стилей, text/javascript или application/javascript для скриптов, — иначе эти файлы перестанут загружаться. Это один из самых дешёвых заголовков, и он почти никогда ничего не ломает. Полный набор — на странице о заголовках безопасности.