Перевірка захисних заголовків

Strict-Transport-Security HSTS

Вказує браузерам завжди використовувати https для Вашого сайту, щоб з’єднання не можна було непомітно перевести на http у ненадійній мережі.

Strict-Transport-Security: max-age=31536000; includeSubDomains

Шість місяців (15552000 секунд) — це мінімум, який Gmork вважає надійним. Додавайте includeSubDomains лише якщо кожен піддомен має https.

Content-Security-Policy CSP

Вказує, звідки можна завантажувати скрипти, стилі, зображення та фрейми. Це ускладнює роботу впроваджених скриптів, наприклад, крадіїв карток, які спрямовують на домен зловмисника.

Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

Почніть з Content-Security-Policy-Report-Only, щоб побачити, що може зламатися, а потім застосовуйте політику. Report-only сам по собі нічого не блокує.

X-Frame-Options XFO

Забороняє іншим сайтам вставляти Ваші сторінки у фрейми, щоб не вводити відвідувачів в оману (clickjacking). Правило frame-ancestors у CSP виконує ту ж функцію і враховується тут.

X-Frame-Options: DENY

Використовуйте SAMEORIGIN, якщо Ваш власний сайт вставляє свої сторінки у фрейми.

X-Content-Type-Options XCTO

Забороняє браузеру вгадувати типи файлів, щоб завантажений файл не міг виконуватися як скрипт.

X-Content-Type-Options: nosniff

nosniff — єдине допустиме значення.

Referrer-Policy RP

Визначає, яку частину адреси Вашої сторінки буде передано іншим сайтам, коли відвідувачі переходять за посиланням або сторінка завантажує зовнішні ресурси.

Referrer-Policy: strict-origin-when-cross-origin

Уникайте unsafe-url, оскільки він передає повні адреси, включаючи рядки запиту, на кожен сайт.

Permissions-Policy PP

Вимикає функції браузера, які Ваш сайт не використовує, наприклад, камеру, мікрофон або місцезнаходження, щоб впроваджений код або вбудовані елементи не могли їх запитувати.

Permissions-Policy: camera=(), microphone=(), geolocation=()

Не вимикайте функції, які дійсно потрібні сайту, або дозволяйте їх лише для власного джерела за допомогою (self).

Розкриття інформації про програмне забезпечення інформація

Перевірка також фіксує заголовок X-Powered-By або заголовок Server з номером версії, наприклад nginx/1.18.0. Самі по собі вони не є вразливостями, але полегшують виявлення застарілого програмного забезпечення. Вони ніколи не враховуються у шістці.

Більшість серверів і фреймворків можуть їх прибрати, наприклад, server_tokens off у nginx.