Biztonsági fejlécek: mit üzen weboldala a böngészőknek?

Mit vizsgál a fejlécellenőrző?

HTTPS és átirányítás

HTTPS-en érhető-e el az oldal, és a sima HTTP-cím oda irányít-e át.

Strict-Transport-Security (HSTS)

A böngészők megjegyzik-e, hogy az oldalt csak HTTPS-en nyissák meg, és mennyi időre.

Content-Security-Policy (CSP)

Korlátozza-e az oldal, honnan tölthetők be szkriptek – ez a leghatékonyabb védelem a befecskendezett szkriptek (XSS) ellen.

Keretvédelem

Megjeleníthetik-e más oldalak ezt az oldalt keretben (X-Frame-Options vagy frame-ancestors) – a kattintáseltérítés ellen véd.

X-Content-Type-Options

Tilos-e a böngészőnek találgatni a fájlok típusát.

Referrer-Policy és Permissions-Policy

Mit árul el az oldal más oldalaknak a látogatóról, és mely böngészőfunkciókat engedélyezi.

Sütik és szoftveradatok

Megvannak-e a sütik védő attribútumai, és elárulja-e a szerver a szoftvere verzióját.

Gyakori kérdések

Mik azok a biztonsági fejlécek?

A webszerver minden válasszal láthatatlan utasításokat küld a böngészőnek. A biztonsági fejlécek ezek közül azok, amelyek megmondják a böngészőnek, mit ne engedjen meg: például hogy az oldalt ne nyissa meg titkosítatlanul, vagy ne töltsön be idegen szkripteket. Nem a szervert védik, hanem a látogatót.

Hol állíthatom be őket?

A webszerver beállításaiban: Apache esetén a .htaccess fájlban („Header always set …”), nginx esetén a szerverblokkban („add_header …”). WordPresshez és más rendszerekhez bővítmény is van. Ha az oldal Cloudflare mögött van, ott is hozzáadhatók.

Elronthatja az oldalamat egy fejléc?

A legtöbb nem. Kettővel érdemes óvatosnak lenni: a tartalombiztonsági házirend letilthat az oldalon használt szkripteket, ezért először jelentő (report-only) módban próbálja ki; a HSTS pedig a megadott ideig HTTPS-re kényszeríti a látogatókat, ezért csak akkor kapcsolja be, ha a tanúsítvány megújítása megbízhatóan működik.

Mit jelent az osztályzat?

A hat fő védelemből hány van rendben. Az „A” azt jelenti, hogy mind megvan; nem azt, hogy az oldal sebezhetetlen. Az osztályzat a kezdőoldal fejléceire vonatkozik, a webalkalmazás hibáit nem vizsgálja.