هدرهای امنیتی HTTP: هفت هدری که هر سایت باید داشته باشد

هدرهای امنیتی به مرورگر می‌گویند «در برابر این دسته حمله محافظت کن». مهم‌ترین‌ها:

• Strict-Transport-Security (HSTS): مرورگر دیگر HTTP را امتحان نکند؛ به‌همراه ریدایرکت ۳۰۱.
• Content-Security-Policy: محدودکردن منابع اسکریپت/استایل — قوی‌ترین دفاع در برابر XSS.
• X-Content-Type-Options: nosniff: مرورگر MIME را حدس نزند.
• X-Frame-Options / frame-ancestors: جلوگیری از clickjacking.
• Referrer-Policy: نشانی کامل صفحات داخلی به سایت‌های دیگر لو نرود.
• Permissions-Policy: دسترسی دوربین/میکروفون/موقعیت را محدود کند.
• Set-Cookie امن: HttpOnly، Secure، SameSite — برای نشست کاربران حیاتی است.

هیچ‌کدام کد سایت را عوض نمی‌کنند؛ فقط چند خط در وب‌سرورند و اثر امنیتی بزرگی دارند. با ابزار بررسی هدرها وضعیت فعلی سایت‌تان را ببینید.

🔗 ابزار مرتبط: بررسی هدرهای HTTP