Strona główna wysyła mniej niż cztery z sześciu popularnych nagłówków zabezpieczeń, które pomagają chronić odwiedzających przed przechwyceniem połączeń, clickjackingiem i wstrzykniętymi skryptami. Większość z nich wymaga jednej linijki konfiguracji.
Co to oznacza
Nagłówki zabezpieczeń to instrukcje, które serwer wysyła z każdą stroną, mówiące przeglądarce, na co pozwolić. Nie usuwają słabości samej witryny, ale znacznie utrudniają wiele typowych ataków.
Oceniane jest sześć nagłówków: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (lub frame-ancestors w CSP), Referrer-Policy i Permissions-Policy.
Co to wywołuje
Raz w tygodniu sprawdzenie Nagłówki zabezpieczeń ładuje stronę główną przez HTTPS i liczy, ile z sześciu nagłówków wysyła: wszystkie sześć to A, pięć to B, cztery to C, trzy to D, dwa to E, a mniej to F. Przy ocenie D lub niższej zgłaszany jest ten problem o wadze Średni, z oceną w tytule i listą brakujących nagłówków. Widać go w aplikacji i nie jest wysyłany e-mailem.
Brak nagłówka HSTS jest też zgłaszany osobno. Zobacz Brak nagłówka HSTS.
Częste przyczyny
- Większość serwerów WWW i planów hostingowych domyślnie nie wysyła żadnego z tych nagłówków.
- Nagłówki są ustawione dla niektórych folderów lub serwerów, ale nie dla strony głównej.
Jak to naprawić
- Najpierw dodaj te proste, które rzadko cokolwiek psują: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin oraz Permissions-Policy, np. camera=(), microphone=(), geolocation=().
- Ustaw je w serwerze WWW, CDN, panelu sterowania hostingu lub wtyczce bezpieczeństwa do CMS-a.
- Content-Security-Policy dodaj na końcu, po przetestowaniu go z Content-Security-Policy-Report-Only, bo restrykcyjna polityka może zablokować Twoje własne skrypty, czcionki lub śledzenie.
Kiedy problem znika
Problem znika przy następnym cotygodniowym sprawdzeniu, które znajdzie co najmniej cztery z sześciu nagłówków (ocena C lub lepsza), a jego działanie znika z planu działań 7 dni później.
Jeśli oznaczysz działanie jako gotowe, a problem nadal będzie wykrywany 14 dni później, wróci jako „Poprawka nie zadziałała”. Zobacz Korzystanie z planu działań.