Headerele de securitate sunt instrucțiuni pe care serverul le dă browserului: ce scripturi are voie să ruleze, dacă pagina poate fi pusă într-un iframe, ce informații trimite mai departe. Câteva linii în nginx închid clase întregi de atacuri asupra utilizatorilor tăi.
Content-Security-Policy e cel mai puternic: listează originile de unde browserul acceptă scripturi, stiluri, imagini și conexiuni, ceea ce reduce drastic efectul unui XSS, pentru că scriptul injectat nu are voie să ruleze. X-Content-Type-Options: nosniff oprește browserul să „ghicească” tipul unui fișier și să execute ca script ceva servit ca text. frame-ancestors, și predecesorul X-Frame-Options, împiedică încadrarea site-ului într-un iframe străin, baza clickjacking-ului. Referrer-Policy controlează cât din URL pleacă spre alte site-uri. Permissions-Policy dezactivează camera, microfonul sau geolocația.
Regula de aur în nginx: directivele add_header dintr-un bloc location înlocuiesc complet lista moștenită din server. Dacă adaugi un add_header pentru cache într-un location pentru imagini, headerele de securitate dispar de pe acele răspunsuri. Soluția e un fișier inclus în fiecare bloc care are propriile add_header. Adaugi always ca headerele să apară și pe răspunsurile 4xx și 5xx. CSP o scrii în report-only și o urmărești câteva săptămâni: scripturile inline, fonturile externe, widgeturile de chat apar toate în rapoarte. Abia apoi o treci pe blocare, cu nonce pentru scripturile inline.
| Header | Valoare recomandată | Ce previne |
|---|---|---|
| Content-Security-Policy | default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self' | XSS, injectare de resurse, clickjacking |
| X-Content-Type-Options | nosniff | Executarea fișierelor cu tip greșit |
| X-Frame-Options | SAMEORIGIN (pentru browsere vechi) | Clickjacking |
| Referrer-Policy | strict-origin-when-cross-origin | Scurgerea URL-urilor cu token-uri |
| Permissions-Policy | camera=(), microphone=(), geolocation=() | Acces la senzori din pagini compromise |
| Strict-Transport-Security | max-age=31536000; includeSubDomains (doar pe HTTPS) | Downgrade la HTTP |
| Server | server_tokens off | Identificarea versiunii pentru exploatare |
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Content-Security-Policy-Report-Only "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'; report-uri /csp-report" always;server_tokens off;
server {
listen 443 ssl;
http2 on;
server_name exemplu.ro;
include snippets/security-headers.conf;
location ~* \.(png|jpg|webp|css|js)$ {
expires 30d;
add_header Cache-Control "public, immutable";
include snippets/security-headers.conf; # altfel headerele dispar aici
}
location = /csp-report {
access_log /var/log/nginx/csp.log;
return 204;
}
}curl -sI https://exemplu.ro/ | grep -iE "content-security|x-frame|x-content-type|referrer|permissions|strict-transport|^server"
curl -sI https://exemplu.ro/pagina-inexistenta | grep -i x-content-typeUn script injectat într-o recenzie citea cookie-urile utilizatorilor autentificați. Cu CSP în modul de blocare și script-src limitat la propriul domeniu, scriptul nu s-a mai executat, iar rapoartele CSP au indicat exact pagina afectată înainte ca cineva să reclame.
Un site terț încadra pagina de login într-un iframe invizibil, suprapus peste un buton de „descarcă”. frame-ancestors 'self' a oprit încadrarea. Verificarea a arătat că headerul lipsea pe /login din cauza unui add_header pentru cache din acel location.
Doar dacă nu le declari. Fiecare serviciu terț publică originile de care are nevoie în script-src, connect-src și frame-src. Perioada de report-only e exact pentru asta: rapoartele îți arată ce origini lipsesc din politică. Le adaugi explicit, nu deschizi politica cu wildcard.
frame-ancestors are prioritate în toate browserele moderne și e mai flexibil, permițând mai multe origini. X-Frame-Options îl păstrezi pentru compatibilitate cu browsere vechi; când amândouă există, browserul modern ignoră X-Frame-Options. Nu strică nimic să le ai pe ambele.
Cele statice, nosniff, Referrer-Policy, Permissions-Policy, frame-ancestors, în nginx, ca să acopere și fișierele statice și paginile de eroare. CSP cu nonce per cerere trebuie generată de aplicație, pentru că nonce-ul se schimbă la fiecare răspuns. Le verifici pe ambele straturi ca să nu le dublezi.
Un server de producție e atacat automat din primele minute după ce primește IP public, indiferent cât de mic e proiectul. Ghidul ordonează controalele după impact, de la accesul SSH până la răspunsul la incident, cu legislația din România care se aplică. Fiecare temă are o pagină dedicată, cu răspuns scurt, exemple și configurări.