Forsiden sender færre end fire af de seks almindelige sikkerhedsheadere, der hjælper med at beskytte de besøgende mod opsnappede forbindelser, clickjacking og indsatte scripts. De fleste kræver kun en enkelt konfigurationslinje.
Hvad det betyder
Sikkerhedsheadere er instruktioner, som serveren sender med hver side, og som fortæller browseren, hvad den skal tillade. De retter ikke svagheder i selve websitet, men de gør mange almindelige angreb meget sværere.
De seks, der indgår i karakteren, er Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (eller CSP frame-ancestors), Referrer-Policy og Permissions-Policy.
Hvad udløser det
Én gang om ugen indlæser tjekket Sikkerhedsheadere forsiden over HTTPS og tæller, hvor mange af de seks den sender: alle seks giver A, fem B, fire C, tre D, to E og færre F. Ved D eller lavere oprettes dette Mellem-problem med karakteren i titlen og en liste over de manglende headere. Det vises i appen og sendes ikke pr. e-mail.
En manglende HSTS-header rapporteres også for sig. Se Ingen HSTS-header.
Almindelige årsager
- De fleste webservere og hostingplaner sender ingen af disse headere som standard.
- Headerne er sat for nogle mapper eller servere, men ikke for forsiden.
Sådan løser du det
- Tilføj de simple først, da de sjældent ødelægger noget: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin og en Permissions-Policy som camera=(), microphone=(), geolocation=().
- Angiv dem i din webserver, dit CDN, dit hostingkontrolpanel eller et sikkerhedsplugin til dit CMS.
- Tilføj Content-Security-Policy til sidst, efter at have testet den med Content-Security-Policy-Report-Only, fordi en streng politik kan blokere dine egne scripts, skrifttyper eller sporing.
Hvornår det forsvinder
Problemet forsvinder ved det næste ugentlige tjek, der finder mindst fire af de seks headere (karakter C eller bedre), og dets handling forsvinder fra handlingsplanen 7 dage senere.
Hvis du markerer handlingen som færdig, og problemet stadig findes 14 dage senere, kommer den tilbage som “Rettelsen virkede ikke”. Se Brug af handlingsplanen.