Tiêu đề bảo mật HTTP

Giải pháp bảo mật dễ dàng nhất hiện có — tiêu đề máy chủ bảo vệ khỏi XSS, clickjacking, đánh hơi MIME và tước bỏ SSL. Hầu hết mất dưới một giờ để cấu hình.

Ludwig Makhyan · Nhà sáng lập, WebsiteCoach

Chuyển đến phần

Tổng quan Giải thích tiêu đề Ai cấu hình chúng

Tổng quan điều hành

Tiêu đề bảo mật HTTP là chỉ thị cấp máy chủ hướng dẫn trình duyệt cách xử lý nội dung của bạn một cách an toàn. Chúng nằm trong số những cải tiến bảo mật có tác động cao nhất, tốn ít công sức nhất hiện có — thường không yêu cầu thay đổi mã, chỉ yêu cầu cấu hình máy chủ hoặc CDN. Các tiêu đề bị thiếu liên tục được trích dẫn trong 10 rủi ro bảo mật ứng dụng web hàng đầu của OWASP.

Tác động kinh doanh

Một cuộc tấn công XSS thành công (có thể ngăn chặn bằng CSP) có thể dẫn đến chiếm quyền điều khiển phiên, đánh cắp thông tin xác thực và vi phạm dữ liệu khách hàng. Theo GDPR, vi phạm dữ liệu có thể bị phạt tới 4% doanh thu hàng năm trên toàn cầu. Việc thiếu HSTS khiến trang web của bạn dễ bị tước bỏ SSL — một cuộc tấn công trung gian nhằm chặn dữ liệu trên các kết nối không được mã hóa.

Nguồn: Phân tích tiêu đề phản hồi HTTP được thực hiện trong mỗi lần kiểm tra WebsiteCoach.

Giải thích về tiêu đề bảo mật

Tiêu đề này được kiểm tra về sự hiện diện và chất lượng cấu hình vì các giá trị yếu có thể khiến các biện pháp bảo vệ phía trình duyệt không hoàn thiện.

Chính sách bảo mật nội dung (CSP)
An ninh-Giao thông nghiêm ngặt (HSTS)
Tùy chọn loại nội dung X
Tùy chọn khung X
Chính sách giới thiệu
Quyền-Chính sách
Chính sách tài nguyên chéo (CORP)
Chính sách mở nguồn chéo (COOP)
Chính sách nhúng đa nguồn gốc (COEP)

Kế hoạch hành động cụ thể theo vai trò

Điều hành / Pháp lýRủi ro và tuân thủ

→Phê duyệt việc triển khai tiêu đề bảo mật như một phần của tư thế tuân thủ
→Hiểu rằng việc thiếu CSP và HSTS là những phát hiện phổ biến trong kiểm tra bảo mật và kiểm tra thâm nhập
→Bao gồm việc tuân thủ tiêu đề bảo mật trong đánh giá bảo mật của nhà cung cấp

CNTT / DevOpsCấu hình máy chủ và CDN

→Định cấu hình tất cả các tiêu đề bảo mật ở cấp độ proxy hoặc CDN ngược (nginx, Cloudflare, Vercel)
→Cho phép tải trước HSTS qua hstspreload.org sau khi xác nhận phạm vi phủ sóng HTTPS đầy đủ
→Thêm bộ quy tắc quản lý tiêu đề bảo mật của Cloudflare nếu sử dụng Cloudflare

Kỹ sư bảo mậtThiết kế và giám sát chính sách

→Chính sách CSP dự thảo bắt đầu bằng chế độ chỉ báo cáo để tránh các thay đổi có thể gây lỗi
→Sử dụng Mozilla Observatory hoặc WebsiteCoach để chấm điểm mức độ hoàn thiện của tiêu đề
→Thiết lập điểm cuối báo cáo vi phạm CSP để giám sát các tài nguyên bị chặn
→Xem xét và thắt chặt Chính sách quyền để chỉ cho phép các API trình duyệt được yêu cầu

Nhà phát triển giao diện người dùngKhả năng tương thích CSP

→Xóa tất cả các khối <script> và <style> nội tuyến - thay thế bằng các tệp bên ngoài (bắt buộc đối với CSP nghiêm ngặt)
→Kiểm tra tất cả các tập lệnh của bên thứ ba và thêm miền của họ vào danh sách cho phép CSP
→Kiểm tra sau khi triển khai CSP bằng bảng điều khiển trình duyệt để tìm lỗi vi phạm

Câu hỏi thường gặp

Tiêu đề bảo mật HTTP là gì?

Tại sao Tiêu đề bảo mật HTTP lại quan trọng?

Tài liệu tham khảo chính thức

Chủ đề liên quan

Bảo mật email & DNS Chất lượng trang

Kiểm tra điểm bảo vệ của bạn ngay bây giờ

Kiểm tra miễn phí trong 60 giây - không cần tài khoản.

Chạy kiểm toán miễn phí