Nagłówki bezpieczeństwa (HSTS, CSP), po ludzku
Za każdym razem, gdy ktoś otwiera Twoją stronę, serwer wysyła przeglądarce nie tylko treść, ale i zestaw ukrytych instrukcji, nagłówków. Kilka z nich to nagłówki bezpieczeństwa: mówią przeglądarce, jak chronić odwiedzającego przed typowymi atakami. Nie zmieniają wyglądu, a domykają realne furtki.
Najważniejsze nagłówki i co robią
- HSTS: wymusza, by przeglądarka zawsze łączyła się z Twoją stroną przez bezpieczne HTTPS, nawet jeśli ktoś wpisze
http://. - CSP (Content Security Policy): określa, skąd strona może ładować skrypty i treści; utrudnia wstrzyknięcie obcego, złośliwego kodu.
- X-Content-Type-Options: blokuje „zgadywanie" typu pliku, które bywa nadużywane w atakach.
- X-Frame-Options: zapobiega osadzaniu Twojej strony w cudzej ramce (obrona przed podstępnym klikaniem).
Dlaczego warto je mieć
Te nagłówki nic nie kosztują, a wyraźnie podnoszą poziom ochrony odwiedzających. Sprawdzają je też narzędzia oceniające bezpieczeństwo stron, ich brak obniża „ocenę zabezpieczeń", którą coraz częściej ktoś sprawdza (partnerzy, audyty, klienci).
CSP to najpotężniejszy z tych nagłówków, ale i najbardziej wymagający, źle ustawiony potrafi zablokować własne skrypty strony. Dlatego wdraża się go z testem, a nie „na oko".
Ustawienie raz, korzyść na stałe
Nagłówki konfiguruje się na poziomie serwera. To jednorazowa robota, która potem po prostu działa w tle przy każdym wejściu na stronę.
Domkniemy to za Ciebie
W ramach przeglądu bezpieczeństwa dobieramy i ustawiamy nagłówki tak, żeby chroniły, a nie psuły strony, z testem po wdrożeniu.
Chcesz podnieść poziom zabezpieczeń swojej strony? Odezwij się, zaczniemy od przeglądu.