ترويسات الأمان في بعد ظهر واحد

ست ترويسات تُضاف مرة واحدة في الخادم أو الـCDN، فتمنع خداع النقر، والرجوع من HTTPS، وتخمين نوع المحتوى، وجزءًا كبيرًا من XSS. ابدأ بهذه:

Strict-Transport-Security: max-age=31536000
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()
Content-Security-Policy: default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

الخمس الأولى نادرًا ما تكسر شيئًا. ملاحظتان:

• لا تضف includeSubDomains إلى HSTS إلا إذا كانت كل النطاقات الفرعية تعمل بـHTTPS. واحذر من preload؛ الخروج من القائمة بطيء.
• CSP هي الأقوى، وهي التي تكسر الصفحات. فعّلها أولًا كـContent-Security-Policy-Report-Only، وراقب ما كانت ستمنعه أسبوعًا، وأصلح، ثم طبّقها. ولا 'unsafe-inline' للسكربتات؛ استخدم البصمات أو nonces.

واحذف أيضًا X-XSS-Protection (أسقطتها المتصفحات)، وأرقام الإصدارات في Server وX-Powered-By.

تحقّق من النتيجة في أدوات المطوّر بالمتصفح، ثم اختبر الدخول والدفع قبل أن تعتبر الأمر منتهيًا.