홈페이지가 연결 가로채기, 클릭재킹, 스크립트 삽입으로부터 방문자를 보호하는 데 도움이 되는 일반적인 보안 헤더 6개 중 4개 미만을 보냅니다. 대부분 설정 한 줄이면 됩니다.
의미
보안 헤더는 서버가 각 페이지와 함께 보내는 지시로, 브라우저에 무엇을 허용할지 알려 줍니다. 웹사이트 자체의 취약점을 해결하지는 않지만, 흔한 공격 상당수를 훨씬 어렵게 만듭니다.
평가 대상인 6개 헤더는 Strict-Transport-Security(HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options(또는 CSP frame-ancestors), Referrer-Policy, Permissions-Policy입니다.
발생 조건
보안 헤더 점검은 일주일에 한 번 HTTPS로 홈페이지를 로드하고 6개 헤더 중 몇 개를 보내는지 셉니다: 6개 모두 A, 5개 B, 4개 C, 3개 D, 2개 E, 그보다 적으면 F입니다. D 이하이면 등급을 제목으로 하고 누락된 헤더를 나열한 이 보통 이슈가 발생합니다. 앱에 표시되며 이메일로는 보내지 않습니다.
HSTS 헤더 누락도 별도로 보고됩니다. HSTS 헤더 없음을(를) 참고하세요.
일반적인 원인
- 대부분의 웹 서버와 호스팅 요금제는 기본적으로 이 헤더를 하나도 보내지 않습니다.
- 헤더가 일부 폴더나 서버에는 설정되어 있지만 홈페이지에는 설정되어 있지 않습니다.
해결 방법
- 거의 문제를 일으키지 않는 간단한 헤더부터 추가하세요: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin, 그리고 camera=(), microphone=(), geolocation=() 같은 Permissions-Policy.
- 웹 서버, CDN, 호스팅 제어판 또는 CMS용 보안 플러그인에서 설정하세요.
- Content-Security-Policy는 Content-Security-Policy-Report-Only로 테스트한 뒤 마지막에 추가하세요. 엄격한 정책은 자체 스크립트, 글꼴 또는 추적을 차단할 수 있기 때문입니다.
해소 시점
6개 헤더 중 4개 이상(C 등급 이상)이 확인되는 다음 주간 점검에서 이슈가 사라지고, 그 7일 후 조치가 실행 계획에서 사라집니다.
조치를 완료로 표시했는데 14일 후에도 문제가 여전히 발견되면 “수정이 효과가 없었습니다”로 다시 나타납니다. 실행 계획 사용을(를) 참고하세요.