HTTP biztonsági fejlécek: Egyszerű mód a webalkalmazások megerősítésére

Ajánlott érték

Strict-Transport-Security: max-age=31536000; includeSubDomains

Előbetöltés

• A preload-ot csak akkor adja hozzá, ha minden aldomain HTTPS-t használ és ezt fenn is tartja. Ha már biztos benne, beküldheti a tartományát a hivatalos előbetöltési listára itt: hstspreload.org (új ablakban nyílik meg).
• Visszaállítás lassú és kockázatos.

Figyelmeztetés: a HSTS előbetöltés gyakorlati szempontból tartós. A böngészők előbetöltési listáiról való eltávolítás 6–12 hónapot is igénybe vehet, és minden nagy böngészővel összehangolást kíván. Csak akkor küldje be a hstspreload.org (új ablakban nyílik meg) oldalra, ha:

• Minden aldomain érvényes HTTPS-t szolgál ki (a belső eszközök is)
• Sehol nincs HTTP fallback
• Rendelkezik dokumentált üzleti jóváhagyással a tartós HTTPS-kikényszerítéshez

Előbetöltési felkészültségi ellenőrzőlista

• Minden aldomain HTTPS-t szolgál ki érvényes tanúsítványokkal.
• Állandó 301-es átirányítás van beállítva HTTP-ről HTTPS-re minden hoszton.
• Nincs olyan belső vagy örökölt rendszer, amely sima HTTP-t igényelne.
• A max-age legalább 31536000, és az includeSubDomains be van állítva legalább két héttel a beküldés előtt.
• Dokumentálja a visszaállítási tervet. Az előbetöltés eltávolítása időigényes és nem végezhető el azonnal.

HSTS összehasonlítás

Alapértelmezett

Referrer-Policy: strict-origin-when-cross-origin

Maximális adatvédelemhez használja a no-referrer értéket.

Referrer-Policy összehasonlítás

Szigorú alapértelmezett

Permissions-Policy: geolocation=(), camera=(), microphone=()

Ellenőrzési lépések

• Keresés a kódban a funkció API-k után.
• DevTools használata a felugrók és letiltott funkciók megtekintéséhez.
• A szükséges útvonalakon nyissa meg a házirendeket.

Gyakori, kapuzandó funkciók

• geolocation=(), camera=(), microphone=() olyan oldalakhoz, ahol ezeket soha nem használják.
• payment=() és usb=() nyilvános marketingoldalakhoz.
• fullscreen=(self) olyan alkalmazásokhoz, amelyek médiamegtekintőt használnak.

Permissions-Policy összehasonlítás

Érték

X-Content-Type-Options: nosniff

X-Content-Type-Options összehasonlítás

Ajánlott készlet, amikor izolációra van szükség

Clear-Site-Data: "cache", "cookies", "storage"  # Use on logout endpoints
Cross-Origin-Opener-Policy: same-origin
Cross-Origin-Embedder-Policy: require-corp
Cross-Origin-Resource-Policy: same-origin

Megjegyzések

• COEP: credentialless egyszerűsítheti a harmadik féltől származó erőforrások betöltését hitelesítési adatok nélkül. Először ellenőrizze a támogatást.
• Bevezetés előtt végezzen auditot a beágyazásokon és a postMessage használatán.

Mikor használjon cross-origin izolációt

• Szüksége van SharedArrayBufferre vagy olyan teljesítmény API-kra, amelyek izolációt igényelnek.
• Erősebb védelmet szeretne a cross-site szivárgások és a felugró ablakok közti kommunikáció ellen.

Hibaelhárítás

• A képek, betűkészletek vagy WASM betöltési hibáit általában a CORP hiánya okozza. Adja hozzá a Cross-Origin-Resource-Policy: same-origin fejlécet az erőforrásaira, vagy szolgálja ki azokat azonos eredetről.
• Harmadik féltől származó widgetek nem biztos, hogy beágyazhatók COEP mellett. Hosztolja őket sajátként, vagy használja a credentialless módot, ha támogatott.

COOP, COEP, CORP összehasonlítás

Biztonságos példa

# Preflight (OPTIONS)
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Methods: GET, POST, OPTIONS
Access-Control-Allow-Headers: Content-Type
Access-Control-Allow-Credentials: true
Access-Control-Max-Age: 600
Vary: Origin, Access-Control-Request-Method, Access-Control-Request-Headers

# Simple/actual response
Access-Control-Allow-Origin: https://example.com
Access-Control-Allow-Credentials: true
Vary: Origin

Access-Control-Expose-Headers: Content-Length, X-Request-ID
Cross-Origin-Resource-Policy: same-origin

Előzetes kérés (preflight)

• A böngészők OPTIONS kérést küldenek a házirend ellenőrzéséhez.
• Cache-elje rövid Access-Control-Max-Age értékkel.

Hitelesített kérések szabályai

• Ne használja a * karaktert hitelesítési adatokkal együtt. Tükrözze vissza az engedélyezett eredetet egy engedélyezési listáról.
• Mindig állítsa be a Vary: Origin fejlécet, ha a válaszok eredettől függően különböznek.
• Csak a szükséges metódusokat és fejléceket engedélyezze. Kerülje a széles Access-Control-Allow-Headers: * beállítást.

Előzetes kérések cache-elésének buktatói

• Tartsa mérsékelt szinten az Access-Control-Max-Age értéket éles környezetben, például 600 másodpercen, hogy a házirend-változások gyorsan érvénybe lépjenek.
• A CDN-ek cache-elhetik az OPTIONS kéréseket. Kerülje meg vagy korlátozza a cache-elést az előzetes kérések útvonalaira.

CORS összehasonlítás

Szerveroldali ellenőrzés ötlete

# Pseudocode: reject unsafe, non-navigational cross-site requests
site = get_header("Sec-Fetch-Site")
mode = get_header("Sec-Fetch-Mode")
is_unsafe_method = (method in [POST, PUT, PATCH, DELETE])
is_cross_site = (site == "cross-site")
is_navigational = (mode == "navigate")

# Block requests that are cross-site, unsafe, AND not a top-level navigation
if (is_cross_site && is_unsafe_method && !is_navigational) {
  reject()
}

Express middleware példa

function fetchMetadataGuard(req, res, next) {
  const site = req.get("Sec-Fetch-Site") || "";
  const mode = req.get("Sec-Fetch-Mode") || "";
  const dest = req.get("Sec-Fetch-Dest") || "";
  const unsafe = ["POST", "PUT", "PATCH", "DELETE"].includes(req.method);
  const allowedSameSite = site === "" || site === "same-origin" || site === "same-site";
  const isNavigation = mode === "navigate" && dest === "document";

  if (unsafe && !allowedSameSite && !isNavigation) return res.sendStatus(403);
  next();
}

Fetch Metadata összehasonlítás

Példa

<script src="https://cdn.example.com/app.js" integrity="sha384-BASE64HASH" crossorigin="anonymous"></script>

Megjegyzések

• Rögzítse a verziókat, vagy frissítse a hasheket automatikusan.
• Használja szkriptekhez és stílusokhoz.

Hashek előállítása és ellenőrzése

• Generálás: openssl dgst -sha384 -binary app.js | openssl base64 -A
• Ellenőrzés: mindig tesztelje az SRI-t staging környezetben élesítés előtt. Hibás hash = hibás oldal.
• Automatizálás: használjon build eszközöket a hashek telepítés közbeni generálására.

SRI összehasonlítás

Biztonságos példa

Set-Cookie: session=abc...; Path=/; Secure; HttpOnly; SameSite=Lax

Megjegyzések

• A modern böngészők hiányzó SameSite esetén Lax alapértelmezést használnak. Legyen explicit.
• A SameSite=None; Secure beállítást csak harmadik fél sütijeihez használja.

Cookie-hatókör tippek

• A Path=/ értéket csak szükség esetén állítsa. A szűkebb útvonal csökkenti a kitettséget.
• A Domain hatókörét a lehető legkevesebb hosztra korlátozza. Kerülje a szuper-domainekre kiterjedő sütiket nagy környezetben.
• Forgassa a munkamenet-azonosítókat bejelentkezéskor és jogosultságváltáskor. Érvénytelenítse kijelentkezéskor.
• Használjon rövid lejáratot a munkamenet-sütikhez. Részesítse előnyben a szerveroldali munkamenet-tárolókat visszavonási lehetőséggel.

Elavult vagy nem javasolt fejlécek

Megjegyzés a nonce-okról Edge Workerekben

Ez a példa az egyszerűség kedvéért statikus CSP-t használ. A nonce-ok megvalósítása (ajánlott) edge workerben, például Cloudflare-ben összetettebb. Ehhez a következőkre van szükség:

• Véletlen nonce generálása, például a crypto.randomUUID() használatával.
• Az eredeti válasz lekérése.
• HTML-átalakító használata (például HTMLRewriter a Cloudflare-ben) a válasz streameléséhez, a nonce attribútum beillesztése a <script> és <style> tagekbe, majd
• A Content-Security-Policy fejléc hozzáadása a végső válaszhoz, beleértve a generált 'nonce-...' értéket.

Biztonsági fejlécek ellenőrző szkript

#!/bin/bash
# Comprehensive security header check
URL="https://example.com"
echo "Testing security headers for $URL"

CRITICAL_HEADERS=(
  "Content-Security-Policy"
  "Strict-Transport-Security"
  "X-Content-Type-Options"
  "Referrer-Policy"
  "Permissions-Policy"
)

# Fail if any required header is missing
for h in "${CRITICAL_HEADERS[@]}"; do
  curl -s -D - https://example.com/ -o /dev/null | grep -iq "^$h:" || { echo "Missing $h"; exit 1; }
done

# Ensure CSP contains frame-ancestors
CSP_VALUE=$(curl -s -D - https://example.com/ -o /dev/null | awk 'BEGIN{IGNORECASE=1}/^Content-Security-Policy:/{print substr($0,index($0,$2))}')
echo "$CSP_VALUE" | grep -iq "frame-ancestors" || { echo "CSP missing frame-ancestors"; exit 1; }

# Test HSTS preload readiness
echo "HSTS Preload Check:"
curl -s "https://hstspreload.org/api/v2/status?domain=$(echo $URL | sed 's|https://||')" | jq .

Várt eredmények

• A dokumentumkérés tartalmazza a CSP, HSTS, Referrer-Policy, COOP, COEP, CORP és X-Content-Type-Options fejléceket.
• Az előzetes kérés a beállított CORS fejléceket mutatja.
• A grep megtalálja a pontos fejlécet és értéket.

Böngésző DevTools

• Nyissa meg a Network lapot, töltsön be egy oldalt, válassza ki a dokumentumkérést, majd vizsgálja meg a válaszfejléceket.
• Tartsa nyitva a Konzolt, hogy a Report-Only módban rögzítse a CSP megsértéseket.
• Ellenőrizze az Application panelen a sütiket és a jelzőiket.

Gyors lépések

• Chrome: Network fül, majd válassza a dokumentumot, ezután Response Headers. Szűrés: csp, strict-transport, referrer-policy.
• Nyissa meg a Konzolt és töltse újra az oldalt, hogy lássa a Content Security Policy megsértéseket Report-Only módban.
• Firefox: Storage panel, majd Cookies. Ellenőrizze a Secure, HttpOnly és SameSite jelzőket.

További buktatók és gyors javítások

• A CSP engedélyezi az 'unsafe-inline'-t. Javítás: használjon nonce-okat vagy hasheket, és távolítsa el az inline eseménykezelőket.
• Hiányzó frame-ancestors a CSP-ben. Adja hozzá akkor is, ha X-Frame-Options-t is küld.
• COEP require-corp bevezetve CORP nélkül a statikus erőforrásokon. Adja hozzá a Cross-Origin-Resource-Policy fejlécet a képekre, betűkészletekre és a WASM-re.
• CORS Access-Control-Allow-Headers értéke *. Cserélje a ténylegesen használt fejlécek listájára.
• SameSite=None sütik Secure nélkül. A None értéket mindig párosítsa a Secure-rel.