Заголовки безопасности (HSTS, CSP и другие)

Коротко: Заголовки безопасности — строки ответа HTTP, с помощью которых сервер задаёт браузеру защитные правила.

Подробнее: Браузер их применяет и тем самым блокирует целые классы атак, даже если в самом приложении есть ошибка. Это вторая линия защиты.

Подробности

• Strict-Transport-Security (HSTS): браузер использует для домена только HTTPS, даже если набрано «http://».
• Content-Security-Policy (CSP): ограничивает, откуда можно загружать контент.
• X-Frame-Options: запрещает встраивание страницы.

См. также: CORS (cross-origin resource sharing), OWASP Top 10