Konfigurasi

Perlindungan Asas

HSTS (Strict-Transport-Security)Paksa sambungan HTTPS

X-Content-Type-OptionsCegah penghiduan jenis MIME

X-Frame-OptionsCegah serangan clickjacking

Referrer PolicyKawal maklumat perujuk

Dasar Keselamatan Kandungan (CSP)

Sumber Lalai (Default Src)

Sumber Skrip (Script Src)

Sumber Gaya (Style Src)

Sumber Imej (Image Src)

Kod Dijana

const helmet = require('helmet');

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ['self'],
      scriptSrc: ['self'],
      styleSrc: ['self'],
      imgSrc: ['self'],
      connectSrc: ['self'],
      fontSrc: ['self'],
      objectSrc: ['none'],
      mediaSrc: ['self'],
      frameSrc: ['none'],
    },
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true,
  },
  frameguard: {
    action: 'deny',
  },
  referrerPolicy: {
    policy: 'no-referrer',
  },
}));

Penjana Pengepala Keselamatan

Hasilkan pengepala HTTP selamat dan konfigurasi Helmet.js untuk melindungi laman web anda daripada serangan.

Cara Penggunaan

Konfigurasi Pengepala

Togol pengepala keselamatan yang anda ingin dayakan, seperti HSTS, X-Frame-Options, dan X-Content-Type-Options.

Tetapkan Peraturan CSP

Tentukan Dasar Keselamatan Kandungan (CSP) anda untuk mengawal sumber yang dibenarkan dimuatkan oleh ejen pengguna.

Salin Kod

Salin kod konfigurasi yang dijana untuk Helmet.js, Nginx, atau Apache dan tambahkannya ke konfigurasi pelayan anda.

Soalan Lazim

Apakah pengepala keselamatan?

Pengepala keselamatan adalah pengepala respons HTTP yang memberitahu pelayar bagaimana untuk bertindak apabila mengendalikan kandungan laman web anda, membantu mencegah pelbagai serangan.

Apakah itu Helmet.js?

Helmet.js adalah middleware Node.js yang popular yang membantu melindungi aplikasi Express dengan menetapkan pelbagai pengepala HTTP.

Mengapa saya perlukan HSTS?

HTTP Strict Transport Security (HSTS) memberitahu pelayar bahawa laman web anda hanya boleh diakses menggunakan HTTPS, mencegah serangan orang tengah.

Apakah itu Clickjacking?

Clickjacking adalah serangan di mana laman web berniat jahat menipu pengguna untuk mengklik sesuatu yang berbeza daripada apa yang dilihat oleh pengguna. X-Frame-Options membantu mencegah ini.

Apakah yang dilakukan oleh X-Content-Type-Options?

Ia menghalang pelayar daripada cuba meneka ('sniff') jenis MIME, memaksanya untuk mematuhi jenis kandungan yang diisytiharkan. Ini mencegah serangan XSS melalui muat naik fail.

Apakah Dasar Keselamatan Kandungan (CSP)?

CSP adalah lapisan keselamatan tambahan yang membantu mengesan dan mengurangkan jenis serangan tertentu, termasuk Skrip Rentas Laman (XSS) dan serangan suntikan data.

Bagaimana saya menggunakan kod Nginx yang dijana?

Tambahkan arahan `add_header` yang dijana ke blok pelayan atau fail konfigurasi blok lokasi Nginx anda.

Bolehkah saya menggunakan pengepala ini di mana-mana laman web?

Ya, pengepala HTTP standard disokong oleh semua pelayar moden dan boleh dikonfigurasi pada mana-mana pelayan web (Apache, Nginx, IIS, dll.).

Adakah X-XSS-Protection masih diperlukan?

Ia sebahagian besarnya sudah usang dalam pelayar moden yang mempunyai perlindungan XSS terbina dalam yang kuat, tetapi beberapa sistem lama mungkin masih mendapat manfaat daripadanya.

Apakah Referrer Policy?

Ia mengawal berapa banyak maklumat perujuk (dihantar melalui pengepala Referer) yang harus disertakan dengan permintaan yang dibuat dari laman web anda.