Bezpečnostní hlavičky webu srozumitelně

Jak zjistit, které hlavičky web posílá

V prohlížeči otevřete nástroje pro vývojáře, záložku Síť, načtěte stránku a klikněte na první požadavek. Nebo v terminálu:

curl -sI https://vasweb.cz

Šest hlaviček, které stojí za to mít

• Strict-Transport-Security (HSTS) říká prohlížeči, ať web otevírá jen přes HTTPS. Začněte s kratší dobou, třeba max-age=86400, a když vše funguje, prodlužte na rok.
• X-Content-Type-Options: nosniff brání prohlížeči hádat typ souboru. Můžete ji bez obav nasadit hned.
• X-Frame-Options: DENY nebo SAMEORIGIN zabrání vložení webu do rámu na cizí stránce. Na tom stojí útoky typu clickjacking.
• Referrer-Policy určuje, kolik z adresy stránky se pošle dalším webům. Rozumná volba je strict-origin-when-cross-origin.
• Permissions-Policy vypne funkce prohlížeče, které web nepotřebuje, třeba kameru, mikrofon nebo polohu.
• Content-Security-Policy (CSP) povolí jen skripty a styly z vyjmenovaných zdrojů. Je nejsilnější a nejsložitější, špatně nastavená umí web rozbít.

Jak hlavičky nastavit

Na hostingu s Apache přidáte hlavičky do souboru .htaccess:

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

Na nginx použijte direktivu add_header, na Cloudflare pravidla pro úpravu hlaviček odpovědi.

CSP nasaďte nejdřív jako Content-Security-Policy-Report-Only. Prohlížeč pak jen hlásí, co by zablokoval, a web nerozbije.