La home page invia meno di quattro dei sei header di sicurezza comuni che aiutano a proteggere i visitatori da connessioni intercettate, clickjacking e script iniettati. La maggior parte richiede una sola riga di configurazione.
Cosa significa
Gli header di sicurezza sono istruzioni che il server invia con ogni pagina, per indicare al browser cosa consentire. Non correggono le vulnerabilità del sito stesso, ma rendono molto più difficili molti attacchi comuni.
I sei valutati sono Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (o frame-ancestors di CSP), Referrer-Policy e Permissions-Policy.
Cosa lo attiva
Una volta alla settimana il controllo Header di sicurezza carica la home page su HTTPS e conta quanti dei sei header invia: tutti e sei valgono una A, cinque una B, quattro una C, tre una D, due una E e meno una F. Con D o inferiore viene generato questo problema di livello Media, con il voto nel titolo e l'elenco degli header mancanti. Compare nell'app e non viene inviato via email.
Anche un header HSTS mancante viene segnalato separatamente. Vedi Nessun header HSTS.
Cause comuni
- La maggior parte dei web server e dei piani di hosting non invia nessuno di questi header per impostazione predefinita.
- Gli header sono impostati per alcune cartelle o alcuni server, ma non per la home page.
Come risolverlo
- Aggiungi prima quelli semplici, che raramente causano problemi: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin e una Permissions-Policy come camera=(), microphone=(), geolocation=().
- Impostali nel web server, nella CDN, nel pannello di controllo dell'hosting o in un plugin di sicurezza per il tuo CMS.
- Aggiungi Content-Security-Policy per ultimo, dopo averlo testato con Content-Security-Policy-Report-Only, perché una policy restrittiva può bloccare i tuoi script, i tuoi font o il tracciamento.
Quando si risolve
Il problema scompare al controllo settimanale successivo che trova almeno quattro dei sei header (voto C o superiore), e la relativa azione esce dal piano d'azione 7 giorni dopo.
Se segni l'azione come fatta e il problema viene ancora rilevato 14 giorni dopo, ricompare come “La correzione non ha funzionato”. Vedi Usare il piano d'azione.