Header di sicurezza mancante

Perché conta

Alcune righe nella risposta dicono al browser cosa è permesso: non incorporare il sito in una pagina esterna, non indovinare i tipi di file, non passare tutto ad altri siti. Senza di esse, un sito è più facile da sfruttare, ad esempio per il clickjacking.

Come lo controlla Snaglist

Questa è parte della verifica di sicurezza, un controllo separato accanto alla scansione, in Studio e Bureau, e solo su un sito che hai verificato. Snaglist guarda solo ciò che qualsiasi visitatore può vedere dall'esterno. Non effettua login, non indovina password e non invia attacchi. Legge le intestazioni di risposta della homepage e verifica cinque di esse: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy e Permissions-Policy. Ognuna mancante viene elencata.

Cause frequenti

• L'host o il server non le imposta di default
• Nessun plugin di sicurezza o regola del server le aggiunge
• Una Content-Security-Policy è stata omessa perché più difficile da configurare

Come risolverlo

1. Inizia con X-Content-Type-Options, X-Frame-Options e Referrer-Policy. Raramente causano problemi.
2. Impostale nelle impostazioni del server, in .htaccess o con un plugin di sicurezza.
3. Testa una Content-Security-Policy prima in modalità report-only.
4. Esegui nuovamente la verifica di sicurezza per confermare.

Come appare nel report

Nel report per il tuo cliente appare sotto il titolo "Al tuo sito mancano alcune protezioni standard". Quando tutto è a posto, il report riporta: "Gli header di sicurezza standard sono presenti".