HTTP заголовки для повышения безопасности

Браузеры с одной стороны, хотят усилить безопасность пользователей, а с другой стороны, хотят упростить работу программистов при работе с сайтом. Идя на уступки браузеры по умолчанию допускают определённые виды атак на сайт.

Чтобы не допустить их, добавьте в настройки вашего сервера следующие заголовки:

Сontent-Security-Policy: form-action 'self'; frame-ancestors 'none'; upgrade-insecure-requests - этот заголовок делает 3 вещи: разрешает отправку форм с вашего сайта только на него самого, запрещает показ страниц вашего сайта в iFrame и указывает браузеру, чтобы файлы для страницы загружались только по безопасному протоколу.
X-Frame-Options - этот заголовок уже устарел. Его функцию выполняет инструкция frame-ancestors 'none' заголовка Сontent-Security-Policy. Но за неимением таковой, мы проверяем наличие этого заголовка.
Access-Control-Allow-Origin не должен быть равен *. Данный заголовок разрешает загрузку файлов из любого источника.
X-Content-Type-Options: nosniff - для HTML, XML, CSS, JavaScript файлов указываем этот заголовок. Он запрещает снифинг по MimeType. То есть операцию, когда браузер интерпретирует файл самостоятельно вопреки заголовку Content-Type.
Заголовки Server, X-Powered-By, X-Aspnet-Version, X-Aspnetmvc-Version - нужно удалить. Он снабжает потенциального злоумышленника информацией об используемом ПО на вашем сервере.

ПРО подписка для работы с сервисом

ПРО подписка

Для регулярной работы над сайтом или группой сайтов.

1 580 ₽

3500 страниц в неделю. Срок подписки — 1 месяц.

Баланс пополняется ежедневно на 500 страниц. Максимум баланса - 3 500.
1 страница даёт 1 запуск инструмента Проверка страницы или 1 внутренняя HTML страница вашего сайта в инструменте Проверка сайта
До 50 страниц в одной проверке в инструментах удаление неиспользуемого CSS/JS
Неограниченные проверки в инструментах пальцеприятность и отзывчивость интерфейса