보안 헤더 검사기

Strict-Transport-Security HSTS

브라우저가 항상 귀하의 사이트에 대해 https를 사용하도록 하여, 신뢰할 수 없는 네트워크에서 연결이 조용히 http로 다운그레이드되지 않도록 합니다.

Strict-Transport-Security: max-age=31536000; includeSubDomains

6개월(15552000초)이 Gmork에서 강력하다고 간주하는 최소 기간입니다. 모든 하위 도메인에 https가 적용되어 있을 때만 includeSubDomains를 추가하십시오.

Content-Security-Policy CSP

스크립트, 스타일, 이미지, 프레임이 어디에서 로드될 수 있는지 지정합니다. 공격자의 도메인을 가리키는 카드 스키머와 같은 삽입된 스크립트의 효과를 약화시킵니다.

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

먼저 Content-Security-Policy-Report-Only로 어떤 부분이 깨질지 확인한 후 적용하십시오. Report-only만으로는 아무것도 차단하지 않습니다.

X-Frame-Options XFO

다른 사이트가 귀하의 페이지를 프레임에 넣어 방문자가 클릭하도록 속이는 행위(클릭재킹)를 방지합니다. CSP의 frame-ancestors 규칙도 같은 역할을 하며 여기에 포함됩니다.

X-Frame-Options: DENY

귀하의 사이트가 자체적으로 페이지를 프레임에 넣는 경우 SAMEORIGIN을 사용하십시오.

X-Content-Type-Options XCTO

브라우저가 파일 유형을 추측하지 못하게 하여, 업로드된 파일이 스크립트로 실행되는 것을 막습니다.

X-Content-Type-Options: nosniff

nosniff만이 유효한 값입니다.

Referrer-Policy RP

방문자가 다른 사이트로 이동하거나 외부 리소스를 로드할 때, 귀하의 페이지 주소 중 어느 부분이 전송되는지 제어합니다.

Referrer-Policy: strict-origin-when-cross-origin

전체 주소(쿼리 문자열 포함)를 모든 사이트에 보내는 unsafe-url은 피하십시오.

Permissions-Policy PP

귀하의 사이트에서 사용하지 않는 카메라, 마이크, 위치 등 브라우저 기능을 꺼서, 삽입된 코드나 임베드가 이를 요청하지 못하게 합니다.

Permissions-Policy: camera=(), microphone=(), geolocation=()

사이트에서 실제로 사용하는 기능은 제외하거나, (self)로 귀하의 도메인에만 허용하십시오.

소프트웨어 공개 정보

체커는 X-Powered-By 헤더 또는 nginx/1.18.0과 같은 버전 번호가 포함된 Server 헤더도 확인합니다. 이 자체로 취약점은 아니지만, 오래된 소프트웨어를 쉽게 식별할 수 있게 합니다. 이들은 여섯 가지 항목에 포함되지 않습니다.

대부분의 서버와 프레임워크는 이를 제거할 수 있습니다. 예를 들어 nginx에서는 server_tokens off를 사용합니다.