Brak nagłówków bezpieczeństwa

Dlaczego to ważne

Kilka linii w odpowiedzi mówi przeglądarce, co jest dozwolone: nie osadzać strony w obcej witrynie, nie zgadywać typów plików, nie przekazywać wszystkiego na inne strony. Bez nich strona jest łatwiejsza do nadużycia, np. do clickjackingu.

Jak Snaglist to sprawdza

To część sprawdzenia bezpieczeństwa, oddzielnego testu obok crawla, dostępnego w Studio i Bureau, tylko dla zweryfikowanych stron. Snaglist sprawdza tylko to, co widzi każdy odwiedzający z zewnątrz. Nigdy nie loguje się, nie zgaduje haseł ani nie przeprowadza ataków. Odczytuje nagłówki odpowiedzi strony głównej i sprawdza pięć z nich: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy i Permissions-Policy. Każdy brakujący jest wymieniony.

Częste przyczyny

• Hosting lub serwer nie ustawia ich domyślnie
• Brak wtyczki bezpieczeństwa lub reguły serwera, która je dodaje
• Content-Security-Policy pominięto, bo trudniej ją skonfigurować

Jak to naprawić

1. Zacznij od X-Content-Type-Options, X-Frame-Options i Referrer-Policy. Rzadko coś psują.
2. Ustaw je w ustawieniach serwera, w pliku .htaccess lub za pomocą wtyczki bezpieczeństwa.
3. Przetestuj Content-Security-Policy najpierw w trybie report-only.
4. Uruchom ponownie sprawdzenie bezpieczeństwa, aby potwierdzić.

Jak to wygląda w raporcie

W raporcie dla klienta to pojawia się pod nagłówkiem „Twoja strona nie ma kilku standardowych zabezpieczeń”. Gdy wszystko jest w porządku, raport wyświetla: „Standardowe nagłówki bezpieczeństwa są ustawione”.