Конфигурация

Базовая защита

HSTS (Strict-Transport-Security)Принудительное использование HTTPS

X-Content-Type-OptionsЗапрет анализа MIME-типов

X-Frame-OptionsЗащита от кликджекинга

Referrer PolicyУправление информацией о реферере

Политика безопасности контента (CSP)

Источник по умолчанию (Default Src)

Источник скриптов (Script Src)

Источник стилей (Style Src)

Источник изображений (Image Src)

Сгенерированный код

const helmet = require('helmet');

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ['self'],
      scriptSrc: ['self'],
      styleSrc: ['self'],
      imgSrc: ['self'],
      connectSrc: ['self'],
      fontSrc: ['self'],
      objectSrc: ['none'],
      mediaSrc: ['self'],
      frameSrc: ['none'],
    },
  },
  hsts: {
    maxAge: 31536000,
    includeSubDomains: true,
    preload: true,
  },
  frameguard: {
    action: 'deny',
  },
  referrerPolicy: {
    policy: 'no-referrer',
  },
}));

Генератор заголовков безопасности

Создавайте безопасные HTTP-заголовки и конфигурации Helmet.js для защиты вашего сайта от атак.

Как использовать

Настройка заголовков

Включите заголовки безопасности, которые вы хотите использовать, такие как HSTS, X-Frame-Options и X-Content-Type-Options.

Установка правил CSP

Определите политику безопасности контента (CSP), чтобы контролировать, какие ресурсы разрешено загружать пользовательскому агенту.

Копирование кода

Скопируйте сгенерированный код конфигурации для Helmet.js, Nginx или Apache и добавьте его в конфигурацию вашего сервера.

Часто задаваемые вопросы

Что такое заголовки безопасности?

Заголовки безопасности — это HTTP-заголовки ответа, которые указывают браузеру, как вести себя при обработке контента вашего сайта, помогая предотвратить различные атаки.

Что такое Helmet.js?

Helmet.js — это популярное промежуточное ПО для Node.js, которое помогает защитить приложения Express путем настройки различных HTTP-заголовков.

Зачем мне нужен HSTS?

HTTP Strict Transport Security (HSTS) сообщает браузерам, что доступ к вашему сайту должен осуществляться только по протоколу HTTPS, предотвращая атаки «человек посередине».

Что такое кликджекинг?

Кликджекинг — это атака, при которой вредоносный сайт обманом заставляет пользователя нажать на что-то отличное от того, что пользователь воспринимает. X-Frame-Options помогает предотвратить это.

Что делает X-Content-Type-Options?

Он предотвращает попытки браузера угадать ('sniff') MIME-тип, заставляя его придерживаться объявленного типа контента. Это предотвращает XSS-атаки через загрузку файлов.

Что такое политика безопасности контента (CSP)?

CSP — это дополнительный уровень безопасности, который помогает обнаруживать и смягчать определенные типы атак, включая межсайтовый скриптинг (XSS) и атаки с внедрением данных.

Как использовать сгенерированный код Nginx?

Добавьте сгенерированные директивы `add_header` в блок server или location в файле конфигурации Nginx.

Могу ли я использовать эти заголовки на любом сайте?

Да, стандартные HTTP-заголовки поддерживаются всеми современными браузерами и могут быть настроены на любом веб-сервере (Apache, Nginx, IIS и т. д.).

Нужен ли все еще X-XSS-Protection?

Он в значительной степени устарел в современных браузерах, которые имеют сильную встроенную защиту от XSS, но некоторые старые системы все еще могут извлечь из него пользу.

Что такое Referrer Policy?

Он контролирует, сколько информации о реферере (отправляемой через заголовок Referer) должно быть включено в запросы, сделанные с вашего сайта.