Header di sicurezza HTTP
I guadagni di sicurezza più facili disponibili - header server che proteggono contro XSS, clickjacking, MIME sniffing e SSL stripping. La maggior parte richiede meno di un'ora per essere configurata.
Ludwig Makhyan · Fondatore, WebsiteCoach
Vai alla sezione
Panoramica Esecutiva
Gli header di sicurezza HTTP sono direttive a livello server che istruiscono i browser su come gestire il contenuto in modo sicuro. Sono tra i miglioramenti di sicurezza più impattanti e meno impegnativi disponibili - in genere richiedono solo configurazione del server o CDN, nessun cambiamento di codice. Gli header mancanti sono costantemente citati nel Top 10 dei rischi di sicurezza delle applicazioni web di OWASP.
Impatto Aziendale
Un attacco XSS riuscito (prevenibile con CSP) può portare al dirottamento di sessione, furto di credenziali e violazioni dei dati dei clienti. Sotto GDPR, una violazione dei dati può comportare sanzioni fino al 4% del fatturato annuo globale. La mancanza di HSTS lascia il tuo sito vulnerabile allo SSL stripping - un attacco man-in-the-middle che intercetta i dati su connessioni non cifrate.
Fonte: Analisi degli header di risposta HTTP eseguita su ogni audit WebsiteCoach.
Header di Sicurezza Spiegati
Questo header viene controllato per presenza e qualità della configurazione, perché valori deboli lasciano incomplete le protezioni del browser.
- Content-Security-Policy (CSP)
- Strict-Transport-Security (HSTS)
- X-Frame-Options / frame-ancestors
- X-Content-Type-Options
- Permissions-Policy
- Referrer-Policy
- Validità e scadenza del certificato SSL/TLS
- Rilevamento cookie non sicuri
- Configurazione CORS
Piano d'Azione per Ruolo
- →Approvare l'implementazione degli header di sicurezza come parte della postura di conformità
- →Capire che CSP e HSTS mancanti sono risultati comuni negli audit di sicurezza e nei penetration test
- →Includere la conformità degli header di sicurezza nelle valutazioni di sicurezza dei fornitori
- →Configurare tutti gli header di sicurezza a livello di reverse proxy o CDN (nginx, Cloudflare, Vercel)
- →Abilitare il preloading HSTS tramite hstspreload.org dopo aver confermato la copertura HTTPS completa
- →Aggiungere il ruleset gestito degli header di sicurezza di Cloudflare se si usa Cloudflare
- →Redigere la policy CSP partendo dalla modalità report-only per evitare cambiamenti dirompenti
- →Usare Mozilla Observatory o WebsiteCoach per valutare la completezza degli header
- →Configurare un endpoint di segnalazione delle violazioni CSP per monitorare le risorse bloccate
- →Rivedere e rafforzare la Permissions-Policy per consentire solo le API del browser necessarie
- →Rimuovere tutti i blocchi inline <script> e <style> - sostituirli con file esterni (richiesto per CSP strict)
- →Verificare tutti gli script di terze parti e aggiungere i loro domini alla allowlist CSP
- →Testare dopo la distribuzione CSP usando la console del browser per gli errori di violazione
Domande frequenti
Che cos'è Header di sicurezza HTTP?
I guadagni di sicurezza più facili disponibili - header server che proteggono contro XSS, clickjacking, MIME sniffing e SSL stripping. La maggior parte richiede meno di un'ora per essere configurata.
Perché Header di sicurezza HTTP è importante?
Un attacco XSS riuscito (prevenibile con CSP) può portare al dirottamento di sessione, furto di credenziali e violazioni dei dati dei clienti. Sotto GDPR, una violazione dei dati può comportare sanzioni fino al 4% del fatturato annuo globale. La mancanza di HSTS lascia il tuo sito vulnerabile allo SSL stripping - un attacco man-in-the-middle che intercetta i dati su connessioni non cifrate.
Riferimenti ufficiali
Argomenti correlati
Controlla il tuo punteggio sicurezza ora
Audit gratuito in 60 secondi - nessun account richiesto.
Audit gratuito