HTTP 安全响应头
最简单的安全增强措施 - 能够防止 XSS、点击劫持、MIME 嗅探和 SSL 剥离的服务器响应头。大多数只需不到一小时即可配置完毕。
Ludwig Makhyan · 创始人, WebsiteCoach
高管摘要
HTTP 安全响应头是服务器级别的指令，指导浏览器如何安全地处理您的内容。它们是影响最大、工作 量最小的安全改进措施之一 - 通常不需要修改代码，只需配置服务器或 CDN 即可。缺失安全响应头经常被列入 OWASP 的十大 Web 应用程序安全风险中。
业务影响
一次成功的 XSS 攻击（可通过 CSP 预防）可能导致会话劫持、凭证被盗和客户数据泄露。在 GDPR 规定下，数据泄露可能导致高达全球年收入 4% 的罚款。缺失 HSTS 会让您的网站容易受到 SSL 剥离的攻击 - 这是一种通过未加密连接拦截数据的中间人攻击。
来源：在每次 WebsiteCoach 审计中执行的 HTTP 响应头分析。
HTTP 安全响应头说明
该响应头会检查是否存在以及配置质量，因为弱配置会让浏览器保护不完整。
- 内容安全策略（CSP）
- 严格传输安全（HSTS）
- X-Frame-Options / frame-ancestors
- X-Content-Type-Options
- 权限策略
- 引用来源策略
- SSL/TLS 证书有效性和到期日期
- 不安全 Cookie 检测
- CORS 配置
基于角色的行动计划
高管 / 法务风险与合规
- →批准将安全响应头实施作为安全合规状态的一部分
- →认识到缺失 CSP 和 HSTS 是安全审计和渗透测试中的常见问题
- →将安全响应头合规性纳入供应商安全评估中
IT / 运维服务器与 CDN 配置
- →在反向代理或 CDN 层（nginx、Cloudflare、Vercel）配置所有安全响应头
- →在确认全面覆盖 HTTPS 之后，通过 hstspreload.org 启用 HSTS 预加载
- →如果使用 Cloudflare，则添加 Cloudflare 的安全响应头托管规则集
安全工程师策略设计与监控
- →起草 CSP 策略，先从“仅报告”模式开始，以避免造成破坏性的更改
- →使用 Mozilla Observatory 或 WebsiteCoach 对响应头完整性进行评分
- →设置 CSP 违规报告端点，以监控被阻止的资源
- →检查并收紧 Permissions-Policy，仅允许必要的浏览器 API
前端开发者CSP 兼容性
- →移除所有内联 <script> 和 <style> 块 - 替换为外部文件（严格 CSP 需要）
- →审计所有第三方脚本并将其域名添加到 CSP 白名单中
- →在部署 CSP 后使用浏览器控制台测试是否出现违规错误
常见问题
HTTP 安全响应头 是什么？
最简单的安全增强措施 - 能够防止 XSS、点击劫持、MIME 嗅探和 SSL 剥离的服务器响应头。大多数只需不到一小时即可配置完毕。
HTTP 安全响应头 为什么重要？
一次成功的 XSS 攻击（可通过 CSP 预防）可能导致会话劫持、凭证被盗和客户数据泄露。在 GDPR 规定下，数据泄露可能导致高达全球年收入 4% 的罚款。缺失 HSTS 会让您的 网站容易受到 SSL 剥离的攻击 - 这是一种通过未加密连接拦截数据的中间人攻击。
相关主题