Sigurnosna zaglavlja za poslovni web.

Što su

Upute koje preglednik provodi umjesto vas.

Sigurnosna zaglavlja dio su HTTP odgovora, a ne sadržaja stranice. Posjetitelji ih ne vide, ali preglednik ih primjenjuje prije nego što išta prikaže. Možete ih ispisati naredbom curl -I i adresom stranice ili na kartici Network u alatima za razvojne programere u pregledniku.

Ne zamjenjuju nadogradnje, sigurnosne kopije ni jake lozinke. Zatvaraju nekoliko čestih praznina koje bi web inače ostavio otvorenima. OWASP Secure Headers Project (na engleskom) održava pregled zaglavlja i preporučenih vrijednosti.

HSTS u koracima

Razdoblje produžite tek kad ste sigurni.

Preglednik pamti Strict-Transport-Security (na engleskom) tijekom cijelog zadanog razdoblja. Ako HTTPS u tom razdoblju prestane raditi, posjetitelji se ne mogu vratiti na HTTP. Zato smo ga produživali u koracima: prvo jedan dan, zatim šest mjeseci, pa godinu, svaki put nakon provjere da web i certifikat rade.

• includeSubDomains primjenjuje pravilo na svaku poddomenu. Dodajte ga tek kad svaka vaša poddomena, sada i ubuduće, radi preko HTTPS-a. Na poddomenama naše domene rade drugi projekti, pa ga nismo uključili.
• Popis za preload ugrađuje HTTPS u same preglednike. Traži includeSubDomains, a uklanjanje dugo traje, pa je to odluka za cijelu domenu, a ne za jedan web.

Što još nedostaje

Pravila za sadržaj traže zaseban projekt.

Content-Security-Policy (na engleskom) navodi izvore s kojih stranica smije učitavati skripte, stilove i slike. Najjače je od ovih zaglavlja i najlakše ga je pogrešno postaviti: izvor koji nedostaje pokvari obrazac ili izbornik, a vlasnik weba ne dobije nikakvo upozorenje.

Počeli smo s inačicom samo za izvještavanje, koja u pregledniku pokazuje što bi bilo blokirano, a ništa ne blokira. Popisujemo vlastite izvore, provjeravamo svaku vrstu stranice i na zaglavlje koje stvarno blokira prelazimo tek kad nijedna stranica ne prijavi problem.