Заголовки безпеки (HSTS, CSP та інші)

Коротко: Заголовки безпеки — рядки відповіді HTTP, за допомогою яких сервер задає браузеру захисні правила.

Докладніше: Браузер їх застосовує і тим самим блокує цілі класи атак, навіть якщо в самому застосунку є помилка. Це друга лінія захисту.

Подробиці

• Strict-Transport-Security (HSTS): браузер використовує для домену лише HTTPS, навіть якщо набрано «http://».
• Content-Security-Policy (CSP): обмежує, звідки можна завантажувати вміст.
• X-Frame-Options: забороняє вбудовування сторінки.

Див. також: CORS (cross-origin resource sharing), OWASP Top 10