Заголовки безопасности сайта: что включают после аудита, а не вместо него

В отчёте сканера заголовки занимают полстраницы и выглядят страшнее, чем есть. Браузер без подсказки сам решает, можно ли открыть ваш сайт внутри чужой страницы, можно ли подменить адрес картинки скриптом и стоит ли навсегда запомнить, что у вас только HTTPS. Несколько строк в настройке веб-сервера это выправляют. Магазин от этого не становится проверенным.

Что обычно стоит включить

• Постоянный HTTPS и заголовок, который просит браузер больше не пробовать открытый адрес.
• Запрет встраивать сайт в чужую страницу, если вам это не нужно для виджета.
• Запрет браузеру угадывать тип файла. Иначе «картинка» может исполниться как скрипт.
• Политику источников подключать осторожно: сломанный кабинет хуже отсутствующей строки.

Жёсткая политика источников легко роняет оплату, карты и чат, если её скопировали из статьи. Её включают после списка скриптов, которые сайту правда нужны, и проверяют кабинет и оформление заказа. Это работа на час-день, не повод переписывать проект.

Lexora ставит такие заголовки в конце аудита или на сопровождении, когда уже понятно, какие виджеты живые. Новым клиентам базовый аудит бесплатный, и заголовки в нём есть, но мы не продаём их как «защиту сайта под ключ». Если отчёт состоит почти только из них, а кабинет никто не смотрел, следующая покупка - не ещё один сканер, а пентест ролей.