HTTP անվտանգության վերնագրեր

Ամենահեշտ անվտանգության բարելավումները - սերվերի վերնագրեր, որոնք պաշտպանում են XSS, clickjacking, MIME sniffing և SSL stripping հարձակումներից: Դրանց մեծ մասը պահանջում է մեկ ժամից պակաս ժամանակ:

Ludwig Makhyan · Հիմնադիր, WebsiteCoach

Անցնել բաժնին

Ակնարկ Վերնագրերի բացատրություն Ով է կարգավորում

Ամփոփագիր ղեկավարների համար

HTTP անվտանգության վերնագրերը սերվերի մակարդակի հրահանգներ են, որոնք բրաուզերներին ասում են, թե ինչպես անվտանգ կարգավորել ձեր բովանդակությունը: Սրանք ամենաբարձր ազդեցությամբ և ամենաքիչ ջանք պահանջող անվտանգության բարելավումների շարքին են դասվում - որպես կանոն, կոդի փոփոխություն չեն պահանջում, միայն սերվերի կամ CDN-ի կարգավորում: Բացակայող վերնագրերը մշտապես նշվում են OWASP-ի Top 10 վեբ անվտանգության ռիսկերի ցանկում:

Բիզնեսի վրա ազդեցություն

Հաջողված XSS հարձակումը (որը կանխվում է CSP-ով) կարող է հանգեցնել սեսիաների գողության, գաղտնաբառերի հափշտակման և հաճախորդների տվյալների արտահոսքի: GDPR-ի համաձայն՝ տվյալների արտահոսքը կարող է հանգեցնել տուգանքների մինչև համաշխարհային տարեկան եկամտի 4%-ի չափով: HSTS-ի բացակայությունը ձեր կայքը խոցելի է դարձնում SSL stripping-ի նկատմամբ - man-in-the-middle հարձակում, որը որսում է տվյալները չգաղտնագրված միացումներում:

Աղբյուր՝ HTTP պատասխանի վերնագրերի վերլուծություն յուրաքանչյուր WebsiteCoach աուդիտի ժամանակ:

Անվտանգության վերնագրերի բացատրություն

Այս header-ը ստուգվում է առկայության և կարգավորման որակի համար, քանի որ թույլ արժեքները թերի են թողնում browser պաշտպանությունը:

Բովանդակության անվտանգության քաղաքականություն (CSP)
Խիստ տրանսպորտային անվտանգություն (HSTS)
X-Frame-Options / frame-ancestors
X-Content-Type-Options
Referrer-Policy
Permissions-Policy
SSL/TLS վավերականացման ինքնություն և գործողության ժամկետ
Չապահով cookie-ների հայտնաբերում
CORS կազմաձևում

Գործողությունների պլան ըստ դերերի

Ղեկավարություն / ԻրավաբանականՌիսկեր և համապատասխանություն

→Հաստատել անվտանգության վերնագրերի ներդրումը որպես համապատասխանության քաղաքականության մաս
→Հասկանալ, որ բացակայող CSP-ն և HSTS-ը տարածված գտածոներ են անվտանգության աուդիտներում և ներթափանցման թեստերում (penetration tests)
→Ներառել անվտանգության վերնագրերի առկայությունը մատակարարների անվտանգության գնահատումներում

ՏՏ / DevOpsՍերվերի և CDN-ի կարգավորումներ

→Կարգավորել անվտանգության բոլոր վերնագրերը reverse proxy կամ CDN մակարդակում (nginx, Cloudflare, Vercel)
→Ակտիվացնել HSTS preloading-ը hstspreload.org-ի միջոցով՝ ամբողջական HTTPS ծածկույթը հաստատելուց հետո
→Ավելացնել Cloudflare-ի կառավարվող անվտանգության վերնագրերի կանոնները, եթե օգտագործում եք Cloudflare

Անվտանգության ինժեներՔաղաքականության նախագծում և մոնիտորինգ

→Ստեղծել CSP քաղաքականություն՝ սկսելով report-only ռեժիմից՝ խուսափելու համար կայքի աշխատանքի խափանումներից
→Օգտագործել Mozilla Observatory կամ WebsiteCoach՝ վերնագրերի ամբողջականությունը գնահատելու համար
→Ստեղծել CSP խախտումների զեկուցման endpoint՝ արգելափակված ռեսուրսները վերահսկելու համար
→Վերանայել և խստացնել Permissions-Policy-ն՝ թույլատրելու միայն անհրաժեշտ բրաուզերի API-ները

Frontend մշակողCSP համատեղելիություն

→Հեռացնել բոլոր inline <script> և <style> բլոկները - փոխարինել դրանք արտաքին ֆայլերով (պարտադիր է խիստ CSP-ի համար)
→Աուդիտ անել երրորդ կողմի բոլոր սկրիպտները և ավելացնել նրանց դոմենները CSP allowlist-ում
→Փորձարկել CSP-ի տեղադրումից հետո՝ օգտագործելով բրաուզերի վահանակը (console) խախտման սխալների համար

Հաճախ տրվող հարցեր

Ի՞նչ է HTTP անվտանգության վերնագրեր-ը:

Ինչո՞ւ է HTTP անվտանգության վերնագրեր-ը կարևոր:

Պաշտոնական հղումներ

Հարակից թեմաներ

Էլ. փոստի և DNS-ի անվտանգություն Էջի որակ

Ստուգեք ձեր անվտանգություն գնահատականը հիմա

Անվճար աուդիտ 60 վայրկյանում - հաշիվ չի պահանջվում:

Անվճար աուդիտ