ส่วนหัวความปลอดภัย HTTP
การรักษาความปลอดภัยที่ง่ายที่สุดมีให้ — ส่วนหัวของเซิร์ฟเวอร์ที่ป้องกัน XSS, การคลิกแจ็ค, การดมกลิ่น MIME และการลอก SSL ส่วนใหญ่ใช้เวลาไม่เกินหนึ่งชั่วโมงในการ กำหนดค่า
Ludwig Makhyan · ผู้ก่อตั้ง, WebsiteCoach
ข้ามไปที่ส่วน
ภาพรวมผู้บริหาร
ส่วนหัวความปลอดภัย HTTP เป็นคำสั่งระดับเซิร์ฟเวอร์ที่จะแนะนำเบราว์เซอร์เกี่ยวกับวิธีการจัดการเนื้อหาของคุณอย่างปลอดภัย สิ่งเหล่านี้เป็นหนึ่งในการปรับปรุงความปลอดภัยที่มีผลกระทบสูงสุดและความพยายามน้อยที่สุดที่มีอยู่ — โดยทั่วไป แล้วไม่จำเป็นต้องเปลี่ยนแปลงโค้ด มีเพียงการกำหนดค่าเซิร์ฟเวอร์หรือ CDN เท่านั้น ส่วนหัวที่ขาดหายไปได้รับการอ้างถึงอย่างต่อเนื่องในความเสี่ยงด้านความปลอดภัยบนเว็บแอปพลิเคชัน 10 อันดับแรกของ OWASP
ผลกระทบทางธุรกิจ
การโจมตี XSS ที่ประสบความสำเร็จ (ป้องกันได้ด้วย CSP) อาจนำไปสู่การไฮแจ็กเซสชัน การขโมยข้อมูลรับรอง และการละเมิดข้อมูลลูกค้า ภายใต้ GDPR การละเมิดข้อมูลอาจส่งผลให้ต้องเสียค่าปรับสูงถึง 4% ของรายได้ต่อปีทั่วโลก HSTS ที่หายไปทำให้ไซต์ของคุณเสี่ยงต่อการถูกลอก SSL ซึ่งเป็นการโจมตีแบบแทรกกลางที่ดักข้อมูลผ่านการเชื่อมต่อที่ไม่ได้เข้ารหัส
แหล่งที่มา: การวิเคราะห์ส่วนหัวการตอบสนอง HTTP ดำเนินการกับการตรวจสอบ WebsiteCoach แต่ละครั้ง
อธิบายส่วนหัวของการรักษาความปลอดภัย
ส่วนหัวนี้ได้รับการตรวจสอบคุณภาพการแสดงตนและการกำหนดค่า เนื่องจากค่าที่อ่อนแออาจทำให้การป้องกันฝั่งเบราว์เซอร์ไม่สมบูรณ์
- นโยบายความปลอดภัยเนื้อหา (CSP)
- การรักษาความปลอดภัยการขนส่งที่เข้มงวด (HSTS)
- X-เนื้อหา-ประเภท-ตัวเลือก
- X-Frame-ตัวเลือก
- นโยบายผู้อ้างอิง
- สิทธิ์-นโยบาย
- นโยบายทรัพยากรข้ามแหล่งกำเนิด (CORP)
- นโยบายตัวเปิดข้ามต้นทาง (COOP)
- นโยบาย Cross-Origin-Embedder-Policy (COEP)
แผนปฏิบัติการเฉพาะบทบาท
- →อนุมัติการใช้งานส่วนหัวการรักษาความปลอดภัยซึ่งเป็นส่วนหนึ่งของแนวทางการปฏิบัติตามกฎระเบียบ
- →ทำความเข้าใจว่า CSP และ HSTS ที่หายไปนั้นเป็นสิ่งที่พบได้ทั่วไปในการตรวจสอบความปลอดภัยและการทดสอบการเจาะระบบ
- →รวมการปฏิบัติตามส่วนหัวด้านความปลอดภัยในการประเมินความปลอดภัยของผู้ขาย
- →กำหนดค่าส่วนหัวความปลอดภัยทั้งหมดที่ระดับพร็อกซีย้อนกลับหรือ CDN (nginx, Cloudflare, Vercel)
- →เปิดใช้การโหลด HSTS ล่วงหน้าผ่าน hstspreload.org หลังจากยืนยันการครอบคลุม HTTPS เต็มรูปแบบแล้ว
- →เพิ่มชุดกฎการจัดการความปลอดภัยของส่วนหัวของ Cloudflare หากใช้ Cloudflare
- →ร่างนโยบาย CSP ที่เริ่มต้นด้วยโหมดรายงานเท่านั้นเพื่อหลีกเลี่ยงไม่ให้การเปลี่ยนแปลงเสียหาย
- →ใช้ Mozilla Observatory หรือ WebsiteCoach เพื่อให้คะแนนความสมบูรณ์ของส่วนหัว
- →ตั้งค่าปลายทางการรายงานการละเมิด CSP เพื่อตรวจสอบทรัพยากรที่ถูกบล็อก
- →ตรวจสอบและกระชับ Permissions-Policy เพื่ออนุญาตเฉพาะ API ของเบราว์เซอร์ที่จำเป็นเท่านั้น
- →ลบบล็อก <script> และ <style> แบบอินไลน์ทั้งหมด — แทนที่ด้วยไฟล์ภายนอก (จำเป็นสำหรับ CSP ที่เข้มงวด)
- →ตรวจสอบสคริปต์ของบุคคลที่สามทั้งหมดและเพิ่มโดเมนลงในรายการที่อนุญาตของ CSP
- →ทดสอบหลังจากการปรับใช้ CSP โดยใช้คอนโซลเบราว์เซอร์เพื่อหาข้อผิดพลาดการละเมิด
คำถามที่พบบ่อย
ส่วนหัวความปลอดภัย HTTP คืออะไร?
การรักษาความปลอดภัยที่ง่ายที่สุดมีให้ — ส่วนหัวของเซิร์ฟเวอร์ที่ป้องกัน XSS, การคลิกแจ็ค, การดมกลิ่น MIME และการลอก SSL ส่วนใหญ่ใช้เวลาไม่เกินหนึ่งชั่วโมงในก ารกำหนดค่า
เหตุใด ส่วนหัวความปลอดภัย HTTP จึงมีความสำคัญ
การโจมตี XSS ที่ประสบความสำเร็จ (ป้องกันได้ด้วย CSP) อาจนำไปสู่การไฮแจ็กเซสชัน การขโมยข้อมูลรับรอง และการละเมิดข้อมูลลูกค้า ภายใต้ GDPR การละเมิดข้อมูลอาจส่งผลให้ต้องเสียค่าปรับสูงถึง 4% ของรายได้ต่อปีทั่วโลก HSTS ที่หายไปทำให้ไซต์ของคุณเสี่ยงต่อการถูกลอก SSL ซึ่งเป็นการโจมตีแบบแทรกกลางที่ดักข้อมูลผ่านการเชื่อมต่อที่ไม่ได้เข้ารหัส
เอกสารอ้างอิงอย่างเป็นทางการ
หัวข้อที่เกี่ยวข้อง