Заголовки безпеки HTTP — це налаштування, які сервер надсилає разом із відповіддю сторінки та які підказують браузеру, як безпечно обробляти ваш сайт.
В інтернет-магазині (наприклад, PrestaShop) вони допомагають зменшувати реальні ризики, такі як clickjacking, небажане завантаження ресурсів, витоки даних у заголовку Referer або неправильна інтерпретація типів файлів.
Найважливіші заголовки, які варто знати
X-Frame-Options та директива frame-ancestors у Content-Security-Policy (CSP) захищають від вбудовування сторінки магазину в iframe на сторонніх сайтах, що є популярним механізмом clickjacking.
Content-Security-Policy (CSP) дає змогу визначити, з яких джерел можуть завантажуватися скрипти, стилі, зображення та мережеві з’єднання, завдяки чому зменшує наслідки багатьох типів атак на стороні браузера.
Strict-Transport-Security (HSTS) примушує використовувати HTTPS для певного домену (заголовок працює лише у відповідях HTTPS), що ускладнює «зведення» трафіку до незашифрованої версії сторінки.
X-Content-Type-Options: nosniff обмежує MIME sniffing, тобто «вгадування» типів файлів браузером, що іноді використовується в деяких сценаріях XSS.
Referrer-Policy контролює, скільки інформації про адресу сторінки передається далі в заголовку Referer, що допомагає обмежити випадкове розкриття параметрів URL.
Permissions-Policy дає змогу вимкнути непотрібні функції браузера (наприклад, геолокацію, мікрофон, камеру), зменшуючи поверхню атаки в типовому магазині.
Розширені заголовки Cross-Origin-Opener-Policy (COOP), Cross-Origin-Resource-Policy (CORP) та Cross-Origin-Embedder-Policy (COEP) стосуються ізоляції cross-origin і контролю завантаження ресурсів між доменами, але потребують обережного впровадження, оскільки можуть впливати на зовнішні інтеграції.
Додатково ви зустрінете заголовки «legacy», такі як X-DNS-Prefetch-Control, X-Permitted-Cross-Domain-Policies, X-Download-Options чи X-XSS-Protection, які залежно від браузера сьогодні мають обмежене значення, але все ще іноді використовуються як елемент посилення конфігурації.
Як впровадити заголовки безпеки в PrestaShop без ризику для інтеграцій
Ключовим є поетапне впровадження змін: частина заголовків є практично «безпечними за визначенням», але CSP і COEP можуть блокувати платежі, аналітику або віджети, якщо їх буде налаштовано надто суворо.
Саме тому ми підготували модуль Заголовки безпеки Pro, який дає змогу вмикати та налаштовувати кожен заголовок окремо, а також встановлювати сферу дії для Front Office і Back Office.
Модуль підтримує multistore, тож ви можете мати різні налаштування для різних магазинів і доменів, що на практиці є частою потребою в PrestaShop.
Якщо ви хочете підвищити рівень безпеки магазину контрольованим і передбачуваним способом, заголовки HTTP є одним із найпрактичніших кроків, які варто впровадити та регулярно тестувати.
Коментарі (0)