Cum adaugi antete de securitate pe site-ul tău

Antetele de securitate sunt instrucțiuni pe care serverul le trimite browserului pentru a bloca atacuri comune. Se adaugă în câteva linii.

Nginx

În server block, adaugă:

add_header X-Frame-Options "SAMEORIGIN" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

nginx -t && systemctl reload nginx

Ce fac aceste antete

• X-Frame-Options: împiedică încărcarea site-ului într-un iframe (protecție anti-clickjacking).
• X-Content-Type-Options: oprește browserul din a ghici tipul fișierelor.
• Referrer-Policy: controlează ce informații de referință sunt trimise altor site-uri.
• Strict-Transport-Security: forțează HTTPS pentru vizitele viitoare.

Content Security Policy

Pentru protecție avansată împotriva scripturilor injectate, adaugă un antet CSP, dar testează-l cu grijă ca să nu blochezi resurse legitime:

add_header Content-Security-Policy "default-src 'self'" always;

Verifică rezultatul cu unelte gratuite online de analiză a antetelor. Vezi și cum adaugi HTTPS.