Startsiden sender færre enn fire av de seks vanlige sikkerhetshodene som hjelper med å beskytte besøkende mot avlyttede tilkoblinger, clickjacking og innsatte skript. De fleste krever bare én linje med konfigurasjon.
Hva det betyr
Sikkerhetshoder er instruksjoner serveren sender med hver side, som forteller nettleseren hva den skal tillate. De retter ikke svakheter i selve nettstedet, men de gjør mange vanlige angrep mye vanskeligere.
De seks som vurderes, er Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (eller CSP frame-ancestors), Referrer-Policy og Permissions-Policy.
Hva som utløser det
Én gang i uken laster kontrollen Sikkerhetshoder startsiden over HTTPS og teller hvor mange av de seks den sender: alle seks gir A, fem B, fire C, tre D, to E og færre F. Ved D eller lavere opprettes dette problemet med middels alvorlighet, med karakteren i tittelen og en liste over headerne som mangler. Det vises i appen og sendes ikke på e-post.
En manglende HSTS-header rapporteres også for seg. Se Ingen HSTS-header.
Vanlige årsaker
- De fleste webservere og vertsplaner sender ingen av disse headerne som standard.
- Headerne er satt for enkelte mapper eller servere, men ikke for startsiden.
Slik løser du det
- Legg til de enkle først, som sjelden ødelegger noe: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin og en Permissions-Policy som camera=(), microphone=(), geolocation=().
- Sett dem i webserveren, CDN-et, kontrollpanelet hos vertstjenesten eller et sikkerhetstillegg for CMS-et ditt.
- Legg til Content-Security-Policy til slutt, etter at du har testet den med Content-Security-Policy-Report-Only, fordi en streng policy kan blokkere dine egne skript, skrifttyper eller sporing.
Når det forsvinner
Problemet forsvinner ved neste ukentlige kontroll som finner minst fire av de seks headerne (karakter C eller bedre), og tiltaket forsvinner fra tiltaksplanen 7 dager senere.
Hvis du merker tiltaket som ferdig og problemet fortsatt finnes 14 dager senere, kommer det tilbake som «Rettelsen virket ikke». Se Bruke tiltaksplanen.