Etusivu lähettää alle neljä kuudesta yleisestä tietoturvaotsakkeesta, jotka auttavat suojaamaan kävijöitä siepatuilta yhteyksiltä, klikkauskaappaukselta ja lisätyiltä skripteiltä. Useimmat vaativat vain yhden määritysrivin.
Mitä se tarkoittaa
Tietoturvaotsakkeet ovat ohjeita, jotka palvelin lähettää jokaisen sivun mukana ja jotka kertovat selaimelle, mitä sallia. Ne eivät korjaa itse sivuston heikkouksia, mutta ne tekevät monista yleisistä hyökkäyksistä paljon vaikeampia.
Arvioitavat kuusi ovat Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (tai CSP:n frame-ancestors), Referrer-Policy ja Permissions-Policy.
Mikä sen laukaisee
Kerran viikossa Tietoturvaotsakkeet-tarkistus lataa etusivun HTTPS:n kautta ja laskee, kuinka monta kuudesta otsakkeesta se lähettää: kaikki kuusi on A, viisi B, neljä C, kolme D, kaksi E ja vähemmän F. Tasolla D tai alempana luodaan tämä Keskitaso-tason ongelma, jonka otsikossa on arvosana ja jossa luetellaan puuttuvat otsakkeet. Se näkyy sovelluksessa, eikä siitä lähetetä sähköpostia.
Puuttuvasta HSTS-otsakkeesta raportoidaan myös erikseen. Katso Ei HSTS-otsaketta.
Yleiset syyt
- Useimmat verkkopalvelimet ja hosting-paketit eivät oletuksena lähetä yhtään näistä otsakkeista.
- Otsakkeet on määritetty joillekin kansioille tai palvelimille, mutta ei etusivulle.
Miten se korjataan
- Lisää ensin yksinkertaiset otsakkeet, jotka harvoin rikkovat mitään: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin sekä Permissions-Policy, esimerkiksi camera=(), microphone=(), geolocation=().
- Määritä ne verkkopalvelimessa, CDN:ssä, hosting-ohjauspaneelissa tai sisällönhallintajärjestelmäsi tietoturvalisäosassa.
- Lisää Content-Security-Policy viimeisenä, kun olet testannut sen Content-Security-Policy-Report-Only-otsakkeella, koska tiukka käytäntö voi estää omat skriptisi, fonttisi tai seurantasi.
Milloin se poistuu
Ongelma katoaa seuraavassa viikkotarkistuksessa, joka löytää vähintään neljä kuudesta otsakkeesta (arvosana C tai parempi), ja sen toimenpide poistuu toimintasuunnitelmasta 7 päivää myöhemmin.
Jos merkitset toimenpiteen valmiiksi ja ongelma löytyy yhä 14 päivää myöhemmin, se palaa tilassa ”Korjaus ei toiminut”. Katso Toimintasuunnitelman käyttäminen.