Nagłówki bezpieczeństwa HTTP to dodatkowe nagłówki odpowiedzi serwera, które instruują przeglądarkę, jak ma chronić użytkownika, na przykład przed XSS, clickjackingiem czy przechwyceniem połączenia.
Najważniejsze nagłówki
| Nagłówek | Zadanie |
|---|---|
Content-Security-Policy |
ogranicza źródła skryptów i zasobów |
Strict-Transport-Security |
wymusza HTTPS |
X-Content-Type-Options: nosniff |
blokuje zgadywanie typu pliku |
X-Frame-Options / frame-ancestors
|
chroni przed osadzaniem strony w ramce |
Referrer-Policy |
ogranicza wysyłanie adresu źródłowego |
Permissions-Policy |
wyłącza niepotrzebne funkcje przeglądarki |
Jak sprawdzić swoje nagłówki?
Użyj narzędzia Mozilla Observatory lub securityheaders.com albo zakładki Sieć w narzędziach deweloperskich.
Jak wdrażać ostrożnie?
Wdrażaj nagłówki po kolei i testuj ich skutki. Content-Security-Policy najlepiej zacząć w trybie raportowania (Content-Security-Policy-Report-Only), aby zobaczyć, co zostałoby zablokowane, zanim polityka zacznie działać naprawdę. Nagłówek HSTS wdrażaj z krótkim czasem ważności i wydłużaj go dopiero, gdy cały serwis działa poprawnie po HTTPS, bo błąd trudno cofnąć.
Gdzie ustawić nagłówki?
W konfiguracji serwera (Apache, Nginx), w pliku .htaccess lub w kodzie aplikacji. Najwygodniej robić to centralnie, aby objąć wszystkie podstrony.
Zobacz w praktyce
Plik .htaccess bez tajemnic – przydatne reguły na przyspieszenie i porządek na serwerze 
Jak naprawić błędy certyfikatu SSL i mixed content 
Błąd 403 (Forbidden) - co oznacza i jak go naprawić?