بررسی سربرگ های امنیتی

بررسی سربرگ های امنیتی — راهنمای کامل

سربرگ های امنیتی HTTP دستورهای نامرئی هستند که سرور شما با هر صفحه می فرستد و به مرورگرها می گوید چگونه رفتار کنند: اجرای HTTPS، مسدود کردن کلیک جکینگ، جلوگیری از MIME sniffing و نگه داشتن اسکریپت ها در سندباکس. بیشتر سایت ها چندتایی را ندارند. و این بررسی سربرگ های امنیتی هر پیوندی را در چند ثانیه بررسی می کند و هر نتیجه را توضیح می دهد.

سربرگ های پایه

• Strict-Transport-Security (HSTS): HTTPS را در همه بازدیدهای آینده اجرا می کند. برای بیشترین اثر زیر دامنه ها و preload را اضافه کنید.
• Content-Security-Policy (CSP): منابع بارگذاری اسکریپت ها، استایل ها و تصاویر را در فهرست سفید قرار می دهد — این قوی ترین دفاع موجود در برابر XSS است.
• X-Frame-Options / frame-ancestors: سایت های دیگر را از جاسازی صفحه های شما در فریم های نامرئی باز می دارد (کلیک جکینگ).
• X-Content-Type-Options: nosniff مرورگرها را از تفسیر نادرست انواع فایل باز می دارد.
• Referrer-Policy: کنترل می کند که چه مقدار از پیوند شما از طریق سربرگ Referer به سایت های دیگر نشت می کند.
• Permissions-Policy: قابلیت های مرورگر (دوربین، میکروفون و موقعیت جغرافیایی) را که سایت شما به آنها نیاز ندارد خاموش می کند.

امتیاز خود را چگونه بخوانید

سبز یعنی موجود و با پیکربندی درست است. قرمز یعنی غایب است — هر ردیف قرمز یک کار تقویت محکم است، نه فقط نصیحت. و کهربایی یا هشدارها معمولا یعنی سربرگ موجود است اما با مقداری ضعیف (مثل max-age کوتاه HSTS). نخست قرمزها را درست کنید، سپس کهربایی ها را تنظیم کنید.

نکته های انتشار

• با سودهای آسان شروع کنید: HSTS و X-Content-Type-Options و Referrer-Policy تنها خط هایی هستند که خطر خرابی آنها تقریبا صفر است.
• پذیرش مرحله ای CSP لازم است: سیاست خود را از Content-Security-Policy-Report-Only شروع کنید، گزارش های تخلف را جمع کنید، سپس اجرا کنید.
• تنظیم سرور، نه کد: سربرگ ها را یک بار در Nginx/Apache/Cloudflare تنظیم کنید و روی کل سایت اعمال می شوند — تمیزتر از تگ های meta برای هر صفحه.
• پس از تغییرات دوباره بررسی کنید: پس از هر انتشار این ابزار را دوباره اجرا کنید تا تایید شود سربرگ ها واقعا فرستاده شده اند.

فراتر از سربرگ ها

سربرگ ها وصله کردن، دیوارهای آتش اپ وب و کدنویسی امن را تکمیل می کنند — هرگز جایگزین آنها نمی شوند. آنها را مثل کمربند ایمنی بدانید: اساسی، اما هنوز به ترمز نیاز دارید. گزارش تمیز سربرگ را با HTTPS همه جا، نرم افزار به روز شده و پشتیبان های منظم ترکیب کنید تا سایت واقعا قوی شود.

زمینه بررسی

سربرگ غایب به خودی خود آسیب پذیری نیست — بلکه کمربند ایمنی غایب است. و خطر شما بستگی دارد به اینکه سایت شما چه می کند: یک وبلاگ ایستا نسبت به اپ بانکی که نشست ها و پرداخت ها را مدیریت می کند سربرگ های کمتری می خواهد. بر اساس مدل خطر خود اولویت بندی کنید، اما HSTS و X-Content-Type-Options را جهانی بدانید.

بهبود را ادامه دهید

پس از هر انتشار بزرگ و به صورت فصلی این بررسی را به عنوان نظافت معمول دوباره اجرا کنید. سربرگ ها ممکن است در جریان مهاجرت ها، تغییرات CDN یا ارتقاهای چارچوب بی صدا ناپدید شوند — و بررسی دو دقیقه ای افت را پیش از مهاجمان می گیرد.