Guide complet de configuration des en-têtes HTTP pour la sécurité

Les entreprises qui vendent des cartes de pointage de sécurité sont en augmentation, leur influence dans les ventes aux entreprises augmente. De plus, il y a ceux qui sont confus par la faible cote de sécurité des vendeurs, et ceux qui au moins une fois, en regardant la cote, ont refusé d'acheter - j'ai parlé avec de telles personnes.

J'ai regardé comment ces entreprises calculent les performances de sécurité d'autres entreprises. Il s'est avéré qu'ils envisageaient une combinaison d'utilisation de l'en-tête HTTP pour la sécurité et la réputation des adresses IP.

La réputation d'une adresse IP est basée sur des informations de liste noire et de liste de spammeurs combinées à des informations sur le propriétaire de l'adresse IP publique. En principe, il doit être propre si votre entreprise n'envoie pas de spam et est en mesure d'identifier et d'arrêter rapidement une mise en œuvre malveillante. L'utilisation de l'en-tête de sécurité HTTP est calculée de la même manière que l'Observatoire de Mozilla fonctionne.

Ainsi, la notation de la plupart des entreprises est principalement déterminée par les rubriques figurant sur les sites Web publics de sécurité.

Définir correctement le titre n'est pas long (aucune vérification sérieuse n'est requise), mais cela améliorera la sécurité du site et aidera à ne pas perdre des clients pour qui la sécurité n'est pas une expression vide de sens

Je doute de la valeur de la méthodologie de vérification mentionnée; de ​​plus, le prix du service est exorbitant. Il est peu probable que les fournisseurs de ce service soient en mesure de déterminer la sécurité d'une ressource avec la précision indiquée. Cependant, la situation souligne une fois de plus combien il est important de s'asseoir et de prendre le temps d'activer et de configurer les titres corrects.

Dans cet article, je parlerai des en-têtes les plus fréquemment vérifiés, pour chacun, je conseillerai les valeurs de sécurité et donnerai un exemple de paramètres. À la fin, je donnerai des exemples de paramètres pour les applications courantes et les serveurs Web.

En-têtes de sécurité importants

Contenu-Sécurité-Politique

Le CSP est utilisé pour empêcher les scripts intersites - en déterminant quelles ressources peuvent être téléchargées. De la liste entière, cette rubrique prendra plus de temps que d'autres pour créer et soutenir correctement, et encore plus d'autres sont à risque. Lorsque vous développez un CSP, vérifiez-le attentivement - si vous bloquez soudainement la source que vous utilisez, puis interrompez les fonctionnalités de votre propre site.

Pour la version préliminaire, vous pouvez utiliser un merveilleux outil - une extension pour le navigateur Mozilla, Laboratory CSP . Installez-le dans un navigateur, étudiez attentivement le site pour lequel vous souhaitez créer un CSP, puis utilisez le CSP généré sur votre site. Idéalement, vous devez toujours retravailler JavaScript afin de pouvoir supprimer la directive en ligne non sécurisée.

Le CSP peut sembler compliqué et déroutant, donc si vous voulez approfondir le sujet, visitez le site officiel .

Vous pouvez préconfigurer CSP comme ceci (sur un site de combat, cela nécessitera très probablement de nombreuses modifications). Ajoutez des domaines à chaque section de votre site.

# Default to only allow content from the current site # Allow images from current site and imgur.com # Don't allow objects such as Flash and Java # Only allow scripts from the current site # Only allow styles from the current site # Only allow frames from the current site # Restrict URL's in the <base> tag to current site # Allow forms to submit only to the current site Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; 

Strict-transport-security

Cet en-tête indique au navigateur que vous ne pouvez accéder au site qu'en utilisant le protocole HTTPS - activez-le toujours si HTTPS est activé sur votre site. Incluez-le sur tous les sous-domaines utilisés, le cas échéant.

 Strict-Transport-Security: max-age=3600; includeSubDomains 

Options de type de contenu X

Grâce à cet en-tête, les navigateurs adhèrent aux types MIME installés par l'application, ce qui permet d'éviter certaines attaques de script intersites.

Il réduit également le risque de comportement d'application inattendu lorsque le navigateur «devine» de manière incorrecte le type de contenu sur le site - par exemple, si le développeur désigne une page «HTML» et que le navigateur voit JavaScript et essaie de rendre la page en conséquence. De plus, grâce à cet en-tête, le navigateur conserve toujours les types MIME installés par le serveur.

 X-Content-Type-Options: nosniff 

Contrôle du cache

Celui-ci sera plus pauvre que les autres, car pour différents types de contenu, vous aurez probablement besoin de politiques de mise en cache différentes.

Aucune information sensible, telle que la page d'un utilisateur ou la page de paiement d'un produit, ne doit être mise en cache. L'une des raisons à cela est qu'un autre utilisateur d'ordinateur n'appuie pas sur le bouton de retour, ne lit pas l'historique et ne voit pas les données personnelles d'un autre utilisateur.

Cependant, vous pouvez et devez mettre en cache les pages rarement mises à jour, telles que les ressources statiques (images, fichiers CSS et JS). La mise en cache peut être configurée page par page ou en utilisant l'expression régulière dans les paramètres du serveur.

 # Don't cache by default Header set Cache-Control no-cache # Cache static assets for 1 day <filesMatch ".(css|jpg|jpeg|png|gif|js|ico)$"> Header set Cache-Control "max-age=86400, public" </filesMatch> 

Expire

Cet en-tête définit l'heure à laquelle la demande en cours est mise en cache. Il est ignoré si l'en-tête max-age Cache-Control est activé, nous ne l'activons donc que dans le cas où un simple scanner le vérifierait - à l'exclusion des contrôles de mise en cache.

Nous supposons que pour des raisons de sécurité, le navigateur ne met rien en cache, donc la date dans l'en-tête sera toujours dans le passé.

 Expires: 0 

X-frame-options

Cet en-tête permet l'affichage du site dans un iFrame.

En plaçant votre site Web dans une iFrame, une ressource malveillante a la possibilité d'effectuer une attaque de détournement de clic - en lançant une sorte de JavaScript qui incite l'utilisateur à cliquer sur l'iFrame, puis commence à interagir avec la ressource à partir de son nom d'utilisateur (c'est-à-dire qu'une personne clique sur un lien ou un bouton malveillant sans même le savoir!).

Cet en-tête doit toujours être configuré pour échouer, à l'exception si vous utilisez intentionnellement des trames. Ensuite, l'en-tête doit être défini sur la même source. Si vous utilisez des cadres avec un site différent par défaut, ajoutez le domaine tiers à la liste blanche.

Il convient également de noter que cet en-tête est remplacé par la directive frame-ancestors CSP. Je recommande de l'activer pour l'instant, mais juste pour fermer les outils de vérification des en-têtes, ils s'en débarrasseront très probablement à l'avenir.

 X-Frame-Options: deny 

Access-Control-Allow-Origin

Cet en-tête indique au navigateur quel code externe de quels sites tiers a le droit de faire des requêtes sur une page spécifique. Les paramètres par défaut sont généralement corrects, mais vous pouvez les modifier si nécessaire.

Par exemple, le site A contient une sorte de JavaScript qui souhaite faire une demande au site B. Le site B doit répondre à cette demande - si l'en-tête permet au site A de faire une demande. Si vous devez configurer plusieurs sources, consultez les détails sur la page MDN .

Ici, vous pouvez être un peu confus, j'ai donc fait un diagramme - pour illustrer le fonctionnement de cet en-tête:

Flux de données avec Access-Control-Allow-Origin

 Access-Control-Allow-Origin: http://www.one.site.com 

Définir un cookie

Assurez-vous que vos cookies sont définis uniquement via le protocole HTTPS (avec cryptage) et qu'ils ne sont pas accessibles via JavaScript. Ces fichiers ne peuvent être envoyés que si votre site prend également en charge HTTPS, comme il se doit. Vous devez toujours définir ces drapeaux:

• Sécurisé
• HTTP uniquement

Exemple de définition de cookie:

 Set-Cookie: <cookie-name>=<cookie-value>; Domain=<domain-value>; Secure; HttpOnly 

En savoir plus dans l'excellente documentation des cookies de Mozilla .

Protection X-XSS

Cet en-tête indique au navigateur d'interrompre les attaques de script intersites détectées. En l'allumant, vous ne prenez pas beaucoup de risques, mais testez-le avant de le lancer dans l'environnement de production.

 X-XSS-Protection: 1; mode=block 

Exemple de paramètres de serveur Web

En général, dans les paramètres du serveur, il est préférable d'ajouter des en-têtes à l'ensemble du site. Les cookies sont une exception, car ils sont définis dans l'application elle-même.

Je vous conseille, avant d'ajouter des en-têtes au site, vérifiez d'abord avec l'Observatoire ou regardez manuellement dans les en-têtes - vérifiez ceux qui sont déjà installés. Certains moteurs de site et de serveur installeront tout par eux-mêmes, alors implémentez simplement les en-têtes dont vous avez besoin ou modifiez ceux qui en ont besoin.

Configuration d'Apache

Exemple de configuration Apache en .htaccess:

 <IfModule mod_headers.c> ## CSP Header set Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; ## General Security Headers Header set X-XSS-Protection: 1; mode=block Header set Access-Control-Allow-Origin: http://www.one.site.com Header set X-Frame-Options: deny Header set X-Content-Type-Options: nosniff Header set Strict-Transport-Security: max-age=3600; includeSubDomains ## Caching rules # Don't cache by default Header set Cache-Control no-cache Header set Expires: 0 # Cache static assets for 1 day <filesMatch ".(ico|css|js|gif|jpeg|jpg|png|svg|woff|ttf|eot)$"> Header set Cache-Control "max-age=86400, public" </filesMatch> </IfModule> 

Configuration de Nginx

 ## CSP add_header Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; ## General Security Headers add_header X-XSS-Protection: 1; mode=block; add_header Access-Control-Allow-Origin: http://www.one.site.com; add_header X-Frame-Options: deny; add_header X-Content-Type-Options: nosniff; add_header Strict-Transport-Security: max-age=3600; includeSubDomains; ## Caching rules # Don't cache by default add_header Cache-Control no-cache; add_header Expires: 0; # Cache static assets for 1 day location ~* \.(?:ico|css|js|gif|jpe?g|png|svg|woff|ttf|eot)$ { try_files $uri @rewriteapp; add_header Cache-Control "max-age=86400, public"; } 

Paramètre d'en-tête au niveau de l'application

Si vous n'avez pas accès au serveur Web ou si les exigences de définition des en-têtes sont complexes, vous devrez probablement les configurer dans l'application elle-même. Habituellement, pour l'ensemble du site, cela se fait à l'aide d'un middleware ou sur la base d'un paramètre unique d'en-têtes pour chaque demande.

Par souci de concision, j'ai inclus une seule rubrique dans chaque exemple. Vous ajoutez de la même manière tout ce qui est nécessaire.

Noeud et express:

Ajouter un chemin de montage global:

 app.use(function(req, res, next) { res.header('X-XSS-Protection', 1; mode=block); next(); }); 

Java et Spring

J'ai peu d'expérience avec Spring, mais Baeldung a un excellent guide sur la configuration des en-têtes au printemps.

Php

Je ne connais pas les différents environnements PHP. Recherchez le middleware pour les requêtes. Pour une seule demande, tout est simple.

 header("X-XSS-Protection: 1; mode=block"); 

Python / Django

Django comprend un middleware de sécurité personnalisable qui fera tout cela pour vous. Activez-les d'abord.

Les réponses de certaines pages peuvent être interprétées comme un dictionnaire. Django a une façon spéciale de travailler avec la mise en cache, et si vous souhaitez configurer les en-têtes de mise en cache de cette manière, vous devez vous familiariser avec celle-ci.

 response = HttpResponse() response["X-XSS-Protection"] = "1; mode=block" 

Conclusions

La configuration des en-têtes est un processus relativement simple et rapide, mais il augmente le niveau de sécurité du site - en termes de protection des données, des scripts intersites et du détournement de clics.

À l'avenir, vous vous protégerez de l'échec des transactions, car votre cote de sécurité restera au niveau. La pratique de l'évaluer sur la base des paramètres que j'ai examinés prend de l'ampleur et il me semble que son rôle dans les années à venir dans le domaine de la vente ne fera que s'intensifier.

Faites-moi savoir si j'ai manqué un titre important!