الإعدادات

الحماية الأساسية

HSTS (أمن النقل الصارم)فرض اتصالات HTTPS

X-Content-Type-Optionsمنع تخمين نوع الملفات

X-Frame-Optionsمنع هجمات النقر المخادع (Clickjacking)

سياسة الإحالة (Referrer Policy)التحكم في معلومات الإحالة

سياسة أمن المحتوى (CSP)

المصدر الافتراضي (Default Src)

مصدر السكربت (Script Src)

مصدر التنسيق (Style Src)

مصدر الصورة (Image Src)

الكود المولد

const helmet = require('helmet');

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ['self'],
      scriptSrc: ['self'],
      styleSrc: ['self'],
      imgSrc: ['self'],
      connectSrc: ['self'],
      fontSrc: ['self'],
      objectSrc: ['none'],
      mediaSrc: ['self'],
      frameSrc: ['none'],
    },
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true,
  },
  frameguard: {
    action: 'deny',
  },
  referrerPolicy: {
    policy: 'no-referrer',
  },
}));

مولد ترويسات الأمان

قم بتوليد ترويسات HTTP آمنة وإعدادات Helmet.js لحماية موقعك من الهجمات.

كيفية الاستخدام

تكوين الترويسات

قم بتبديل ترويسات الأمان التي تريد تفعيلها، مثل HSTS و X-Frame-Options و X-Content-Type-Options.

تعيين قواعد CSP

حدد سياسة أمن المحتوى (CSP) للتحكم في الموارد التي يُسمح للمتصفح بتحميلها.

نسخ الكود

انسخ كود الإعداد المولد لـ Helmet.js أو Nginx أو Apache وأضفه إلى إعدادات الخادم الخاص بك.

الأسئلة الشائعة

ما هي ترويسات الأمان؟

ترويسات الأمان هي ترويسات استجابة HTTP تخبر المتصفح بكيفية التصرف عند التعامل مع محتوى موقعك، مما يساعد في منع الهجمات المختلفة.

ما هو Helmet.js؟

Helmet.js هو برنامج وسيط (Middleware) لـ Node.js يساعد في تأمين تطبيقات Express عن طريق تعيين ترويسات HTTP متنوعة.

لماذا أحتاج إلى HSTS؟

يخبر HTTP Strict Transport Security (HSTS) المتصفحات بأنه يجب الوصول إلى موقعك فقط باستخدام HTTPS، مما يمنع هجمات الرجل في المنتصف.

ما هو هجوم النقر المخادع (Clickjacking)؟

النقر المخادع هو هجوم يخدع فيه موقع ضار المستخدم للنقر على شيء مختلف عما يدركه المستخدم. يساعد X-Frame-Options في منع ذلك.

ماذا يفعل X-Content-Type-Options؟

يمنع المتصفح من محاولة تخمين ('sniff') نوع الملف، ويجبره على الالتزام بالنوع المعلن. هذا يمنع هجمات XSS عبر رفع الملفات.

ما هي سياسة أمن المحتوى (CSP)؟

CSP هي طبقة أمان إضافية تساعد في اكتشاف وتخفيف أنواع معينة من الهجمات، بما في ذلك البرمجة عبر المواقع (XSS) وهجمات حقن البيانات.

كيف أستخدم كود Nginx المولد؟

أضف توجيهات `add_header` المولدة إلى كتلة الخادم (server block) أو كتلة الموقع (location block) في ملف إعداد Nginx.

هل يمكنني استخدام هذه الترويسات على أي موقع؟

نعم، يتم دعم ترويسات HTTP القياسية بواسطة جميع المتصفحات الحديثة ويمكن تكوينها على أي خادم ويب (Apache, Nginx, IIS, وغيرها).

هل لا يزال X-XSS-Protection ضروريًا؟

لقد أصبح قديمًا إلى حد كبير في المتصفحات الحديثة التي تتمتع بحماية XSS قوية مدمجة، ولكن بعض الأنظمة القديمة قد تظل تستفيد منه.

ما هي سياسة الإحالة (Referrer Policy)؟

تتحكم في مقدار معلومات الإحالة (المرسلة عبر ترويسة Referer) التي يجب تضمينها مع الطلبات المقدمة من موقعك.