رؤوس أمان HTTP
أسهل المكاسب الأمنية المتاحة — رؤوس الخادم التي تحمي من XSS، وclickjacking، وMIME sniffering، وتجريد SSL. يستغرق معظمها أقل من ساعة للتهيئة.
Ludwig Makhyan · المؤسس, WebsiteCoach
انتقل إلى القسم
نظرة عامة تنفيذية
رؤوس أمان HTTP هي توجيهات على مستوى الخادم توجه المتصفحات حول كيفية التعامل مع المحتوى الخاص بك بشكل آمن. إنها من بين تحسينات الأمان المتاحة الأعلى تأثيرًا والأقل جهدًا - ولا تتطلب عادةً أي تغييرات في التعليمات البرمجية، بل تتطلب فقط تكوين الخادم أو CDN. يتم الإشارة باستمرار إلى الرؤوس المفقودة في أهم 10 مخاطر أمنية لتطبيقات الويب الخاصة بـ OWASP.
تأثير الأعمال
يمكن أن يؤدي هجوم XSS الناجح (الذي يمكن الوقاية منه باستخدام CSP) إلى اختطاف الجلسة وسرقة بيانات الاعتماد وخرق بيانات العميل. وبموجب اللائحة العامة لحماية البيانات، يمكن أن يؤدي خرق البيانات إلى فرض غرامات تصل إلى 4% من الإيرادات السنوية العالمية. يؤدي فقدان HSTS إلى جعل موقعك عرضة لنزع طبقة المقابس الآمنة (SSL) - وهو هجوم وسيط يعترض البيانات عبر الاتصالات غير المشفرة.
المصدر: تحليل رأس استجابة HTTP الذي تم إجراؤه في كل عملية تدقيق لـ WebsiteCoach.
وأوضح رؤوس الأمن
يتم التحقق من هذا الرأس للتأكد من وجوده وجودة التكوين لأن القيم الضعيفة يمكن أن تترك عمليات الحماية من جانب المتصفح غير مكتملة.
- سياسة أمان المحتوى (CSP)
- أمن النقل الصارم (HSTS)
- خيارات نوع المحتوى X
- خيارات الإطار X
- سياسة الإحالة
- سياسة الأذونات
- سياسة الموارد المشتركة (CORP)
- سياسة فتح المصادر المشتركة (COOP)
- سياسة التضمين عبر الأصل (COEP)
خطة العمل الخاصة بالدور
- →الموافقة على تنفيذ رأس الأمان كجزء من وضع الامتثال
- →افهم أن فقدان CSP وHSTS يعد من النتائج الشائعة في عمليات التدقيق الأمني واختبارات الاختراق
- →قم بتضمين الامتثال لرأس الأمان في تقييمات أمان البائع
- →قم بتكوين جميع رؤوس الأمان على مستوى الوكيل العكسي أو CDN (nginx، Cloudflare، Vercel)
- →قم بتمكين التحميل المسبق لـ HSTS عبر hstspreload.org بعد التأكد من تغطية HTTPS الكاملة
- →أضف مجموعة القواعد المُدارة لرؤوس أمان Cloudflare في حالة استخدام Cloudflare
- →قم بصياغة سياسة CSP بدءًا من وضع التقرير فقط لتجنب كسر التغييرات
- →استخدم مرصد Mozilla أو WebsiteCoach لتسجيل اكتمال الرأس
- →قم بإعداد نقطة نهاية للإبلاغ عن ا نتهاك CSP لمراقبة الموارد المحظورة
- →قم بمراجعة سياسة الأذونات وتشديدها للسماح فقط بواجهات برمجة تطبيقات المتصفح المطلوبة
- →قم بإزالة جميع كتل <script> و<style> المضمنة - واستبدلها بالملفات الخارجية (مطلوبة لـ CSP الصارم)
- →قم بمراجعة جميع البرامج النصية التابعة لجهات خارجية وأضف نطاقاتها إلى القائمة المسموح بها لموفر خدمة CSP
- →اختبار بعد نشر CSP باستخدام وحدة تحكم المتصفح بحثًا عن أخطاء الانتهاك
الأسئلة المتداولة
ما هو رؤوس أمان HTTP؟
أسهل المكاسب الأمنية المتاحة — رؤوس الخادم التي تحمي من XSS، وclickjacking، وMIME sniffering، وتجريد SSL. يستغرق معظمها أقل من ساعة للتهيئة.
لماذا يهم رؤوس أمان HTTP؟
يمكن أن يؤدي هجوم XSS الناجح (الذي يمكن الوقاية منه باستخدام CSP) إلى اختطاف الجلسة وسرقة بيانات الاعتماد وخرق بيانات العميل. وبموجب اللائحة العامة لحماية البيانات، يمكن أن يؤدي خرق البيانات إلى فرض غرامات تصل إلى 4% من الإيرادات السنوية العالمية. يؤدي فقدان HSTS إلى جعل موقعك عرضة لنزع طبقة المقابس الآمنة (SSL) - وهو هجوم وسيط يعترض البيانات عبر الاتصالات غير المشفرة.
مواضيع ذات صلة
تحقق من نقاط حماية الخاصة بك الآن
تدقيق مجاني خلال 60 ثانية - لا يلزم وجود حساب.
تشغيل التدقيق المجاني