هدرهای HTTP به مرورگر می‌گویند چطور رفتار کند؛ چند هدر امنیتی کلیدی می‌توانند جلوی بسیاری از حملات رایج را بگیرند.
هدرهای ضروری
- Content-Security-Policy: منابع مجاز برای بارگذاری اسکریپت/استایل را محدود می‌کند و XSS را کند می‌کند.
- Strict-Transport-Security: مرورگر را مجبور می‌کند همیشه از HTTPS استفاده کند.
- X-Frame-Options: از قرارگیری سایت در iframe (حمله‌ی Clickjacking) جلوگیری می‌کند.
- X-Content-Type-Options: از حدس نوع فایل توسط مرورگر جلوگیری می‌کند.
- Referrer-Policy: کنترل می‌کند چه اطلاعاتی هنگام کلیک روی لینک به سایت مقصد فرستاده شود.
یک نکته‌ی مهم درباره CSP
استفاده از unsafe-inline در CSP بخش زیادی از محافظت آن را خنثی می‌کند؛ در صورت امکان از nonce یا فایل‌های خارجی استفاده کنید.
CSP، HSTS و X-Frame-Options را در پاسخ‌ها تنظیم کنید.