Generera skyddande HTTP-headers

Utvecklare som förvaltar en webbapplikation kan använda uppsättningen som utgångspunkt före införande eller granskning av serversvar.

Sätt ihop skyddande HTTP-headers och kopiera en färdig uppsättning som stärker det grundläggande skyddet i en webbapplikation.

Så använder du

Ange adressen till den webbplats du förbereder en konfiguration för.
Kör genereringen för att få en baslinje med defensiva headers.
Läs utdata och identifiera de direktiv som behöver anpassas till din server.
Kopiera de användbara raderna till din konfigurationsfil.
Testa konfigurationen i en stagingmiljö.

Exempel

En utvecklare startar en ny webbplats och vill undvika att glömma grundläggande skydd. Hen anger domänadressen, genererar en headerbaslinje och anpassar sedan varje direktiv till sin hosting och sina behov. Hen kontrollerar det verkliga svaret före lansering.

Indata

https://example.com

Gränser och format

Den genererade baslinjen är en utgångspunkt: vissa direktiv kan bryta funktioner om de tillämpas utan anpassning.
Behoven varierar med de resurser, skript, iframes och typsnitt som webbplatsen använder.
Verktyget distribuerar ingenting eller testar det slutliga svaret; du måste konfigurera din server eller ditt CDN.
Kontrollera webbplatsen i en webbläsare efter en ändring för att upptäcka eventuell blockering.

Var bearbetningen sker

Genereringen körs helt i din webbläsare. Adressen och valen du använder stannar på din enhet och skickas inte till någon extern tjänst. Du kan förbereda flera konfigurationer utan konto eller lagring.

Vanliga frågor

Kan jag kopiera headers precis som de är?

De är en startbaslinje, inte en universell konfiguration. Anpassa reglerna som rör skript, bilder, ramar och tillåtna domäner. Testa sedan i staging för att se till att webbplatsen fortfarande fungerar korrekt innan du distribuerar till produktion.

Var ska jag placera dessa headers?

De kan läggas till av webbservern, proxyn eller CDN:et som levererar webbplatsen. Välj den plats som matchar din infrastruktur och undvik motstridiga dubbletter. Kontrollera det verkliga HTTP-svaret efter distribution.

Räcker dessa headers för att säkra en webbplats?

Nej. De kompletterar andra åtgärder som validering av indata, sessionshantering och uppdateringar av beroenden. De minskar vissa risker på webbläsarsidan, men de åtgärdar inte en applikationssårbarhet. Använd dem som en del av ett bredare angreppssätt.