Anteturile HTTP de securitate permit serverului să transmită browserului reguli privind conexiunile, încărcarea resurselor și anumite funcții. Ele pot reduce riscuri precum încărcarea de conținut nesigur sau interpretarea incorectă a tipurilor MIME, dar trebuie configurate în funcție de aplicație.
Strict-Transport-Security (HSTS)
HSTS instruiește browserul să folosească HTTPS pentru domeniu pe durata indicată. Activează-l numai după ce HTTPS funcționează corect pe toate subdomeniile vizate. Opțiunile includeSubDomains și preload au consecințe importante și nu trebuie adăugate automat.
Content-Security-Policy (CSP)
CSP limitează sursele din care pagina poate încărca scripturi, stiluri, imagini și alte resurse. O politică strictă poate bloca scripturile inline, instrumentele de analiză sau procesatorii de plăți. Începe cu Content-Security-Policy-Report-Only, analizează rapoartele și rafinează regulile.
X-Content-Type-Options
Valoarea nosniff reduce interpretarea MIME de către browser în anumite contexte. Este o regulă simplă, dar serverul trebuie să trimită tipuri MIME corecte pentru resurse. Testează încărcarea CSS, JavaScript și fonturilor după activare.
Referrer-Policy și Permissions-Policy
Referrer-Policy controlează ce informații despre pagina sursă sunt trimise la navigare. Permissions-Policy limitează accesul la funcții precum cameră, microfon sau geolocație. Alege o politică adecvată funcțiilor site-ului, nu copia un șablon fără verificare.
Testează anteturile
Verifică răspunsurile HTTP pentru paginile publice și zonele de autentificare. Testează formularele, checkout-ul, scripturile terțe și paginile mobile. Păstrează o metodă de revenire dacă o regulă blochează funcții importante.
Resurse și lecturi suplimentare
Pentru detalii tehnice, consultă OWASP Secure Headers Project și MDN: HTTP headers.
Poți aprofunda subiectul și în materialele YulY despre SSL și HTTPS pentru website și securitate WordPress.
Concluzie
Anteturile de securitate sunt utile numai când reflectă modul real în care site-ul încarcă resurse. Aplică-le gradual, testează în browser și monitorizează erorile.
