När en webbläsare laddar din sajt kan din server skicka med en uppsättning HTTP-svarsheaders som talar om för webbläsaren att bete sig säkrare. De kostar ingenting, ändrar inte hur sajten ser ut, och stänger några av de vanligaste sätten en sajt blir attackerad på. Ändå levereras de flesta sajter — WordPress inkluderat — med nästan inga alls, för CMS:et lägger inte till dem: de kommer från din webbserver eller ett säkerhetsplugin.
Så här gör de viktigaste.
Headersen som spelar roll
Strict-Transport-Security (HSTS)
Tvingar webbläsare att alltid använda HTTPS för din domän, även om någon skriver http:// eller klickar på en gammal länk. Det hindrar nedgraderingsattacker och gör att sessionscookies aldrig färdas i klartext. När den väl är satt kommer webbläsaren ihåg det under tiden du anger.
Content-Security-Policy (CSP)
Den kraftfullaste — och mest krävande — headern. Den talar om för webbläsaren exakt vilka källor skript, stilar, bilder och andra resurser får laddas från. En bra CSP är det starkaste enskilda skyddet mot cross-site scripting (XSS), eftersom injicerade skript helt enkelt inte körs. Den kräver omsorg att få rätt (varje legitimt inline-skript och tredjepartsverktyg måste tillåtas), vilket är varför många sajter hoppar över den.
X-Frame-Options
Hindrar andra sajter från att bädda in din i en dold ram — tricket bakom clickjacking, där ett offer tror att de klickar på din riktiga knapp men egentligen klickar på något i en angripares överlagring.
Moderna webbläsare föredrar det nyare direktivet frame-ancestors i Content-Security-Policy, som gör samma sak med finare kontroll (till exempel frame-ancestors 'self') och har företräde när båda skickas. Att behålla X-Frame-Options vid sidan av är fortfarande ett rimligt standardval för äldre webbläsare.
X-Content-Type-Options
Satt till nosniff hindrar den webbläsaren från att gissa (MIME-sniffa) en fils typ. Den gissningen kan förvandla en ofarlig uppladdning till ett körbart skript; att stänga av den tar bort en hel klass av attacker.
Referrer-Policy
Styr hur mycket av din adress som delas när en besökare klickar på en länk till en annan sajt. Den hindrar privata sökvägar och query-strängar från att läcka in i andra företags analysverktyg.
Permissions-Policy
Låter dig stänga av webbläsarfunktioner som din sajt inte använder — kamera, mikrofon, plats och så vidare — så att ett komprometterat skript inte tyst kan slå på dem.
Hur du lägger till dem
Säkerhetsheaders sätts i kanten, inte i ditt innehåll:
- Nginx / Apache: lägg till dem i server- eller virtual-host-konfigurationen (t.ex. ett
add_header-block i Nginx). Det är den mest tillförlitliga platsen. - WordPress: ett säkerhetsplugin (eller din hostings panel) kan lägga till dem utan att röra serverfiler. Börja med HSTS, X-Frame-Options, X-Content-Type-Options och Referrer-Policy — de är säkra på nästan vilken sajt som helst. Lägg till Permissions-Policy härnäst, och CSP sist, med noggrann testning.
Lägg till dem en i taget och kontrollera om efter varje — en för strikt CSP kan blockera dina egna skript, så den introducerar du sist.
Kolla din sajt på några sekunder
Osäker på vilka headers din sajt skickar idag? Vårt gratis säkerhetsheaders-verktyg betygsätter valfri sajt utifrån — inget konto behövs — och visar exakt vilka som finns, är svaga eller saknas.
