Настройка заголовков HTTP

Существуют сотни различных видов HTTP заголовков. Мы проверяем те, что полезны для каждого сайта:

Указание кодировки для HTML документов через Content-Type. Без этого браузеры могут отобразить страницу некорректно.
Воздержаться от заголовка Link для указания языковых версий. Лучше использовать метатеги rel=alternate. Их проще проверять. Исключение составляют текстовые файлы форматов PDF, DJVU и других, содержимое которых индексируется поисковыми системами. У них отсутствует возможность использовать HTML тег для указания разных языковых версий и заголовок Link — единственный инструмент.
Отсутствие устаревших заголовков Public-Key-Pins, Expect-CT, X-XSS-Protection.
Использование X-Frame-Options, Content-Security-Policy только для HTML страниц.
Использование X-Content-Type-Options только для HTML, XML, CSS, JavaScrit файлов.
Указание флага Secure для кук.

Пример заголовков, которые возвращает сервер при загрузке CSS файла. Каждая строчка выполняет определённую задачу.

Замечание: у веб-сервера Apache удалить заголовок Server невозможно, можно только сделать его пустым. Для этого надо добавить/изменить в файле /etc/apache2/conf-available/security.conf следующие директивы:

ServerTokens Prod
ServerSignature Off
SecServerSignature " "

ПРО подписка для работы с сервисом

Подробнее о тарифах