ترويسات أمان المواقع: قائمة من 9 نقاط يمكنك إصلاحها اليوم

01لماذا تهمّ الترويسات

تطلب ترويسات الأمان من متصفح الزائر أن يرفض السلوك الخطِر: تحميل صفحتك داخل إطار موقع آخر، أو تخمين أنواع الملفات، أو إرسال عنوانك الكامل إلى مواقع أخرى، أو تشغيل سكربتات من مصادر مجهولة. وهي لا تكلّف شيئًا ولا تزيد وزن الصفحة وتحجب فئات كاملة من الهجمات.

021. HTTPS بشهادة صالحة

كل شيء يبدأ من هنا. يجب أن يُحمَّل الموقع كله عبر HTTPS بشهادة صالحة غير منتهية. تكفي الشهادات المجانية من Let's Encrypt أو من شبكة CDN التي تستخدمها.

032. تحويل HTTP إلى HTTPS

إذا كتب أحدهم العنوان العادي http:// فيجب أن يردّ الخادم بإعادة توجيه دائمة إلى نسخة https://.

043. HSTS: تذكّر استخدام HTTPS

تطلب ترويسة Strict-Transport-Security من المتصفح استخدام HTTPS لنطاقك لفترة طويلة، حتى لو كتب الزائر http.

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. سياسة أمان المحتوى (CSP)

تحدد CSP المواضع التي يجوز تحميل السكربتات والأنماط والصور منها. وهي أقوى دفاع ضد البرمجة النصية عبر المواقع (XSS)، وأصعب ترويسة في ضبطها بشكل صحيح.

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. الحماية من النقر الخادع

امنع المواقع الأخرى من تضمين صفحاتك في إطار مخفي. الطريقة الحديثة هي frame-ancestors في CSP، بينما تغطي X-Frame-Options المتصفحات القديمة.

X-Frame-Options: DENY

076. X-Content-Type-Options

تطلب من المتصفح الوثوق بنوع الملف المعلَن وعدم تخمينه. سطر واحد دون أي عيب.

X-Content-Type-Options: nosniff

087. Referrer-Policy

تتحكم في مقدار عنوان صفحتك الذي يُشارَك عندما ينقر الزائر على رابط إلى موقع آخر.

Referrer-Policy: strict-origin-when-cross-origin

098. لا تُسرِّب تقنياتك

ترويسات مثل Server: nginx/1.18.0 أو X-Powered-By: PHP/7.4 تخبر المهاجمين بدقة بالإصدارات التي يبحثون عنها. أزلها أو أخفها حيثما تسمح منصتك.

109. ملفات تعريف ارتباط آمنة

ينبغي أن تحمل ملفات تعريف الارتباط التي تحتفظ بجلسة تسجيل الدخول Secure (عبر HTTPS فقط) وHttpOnly (لا تقرؤها السكربتات) وSameSite (تحد من الإرسال بين المواقع).

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11أين تضبطها

في الأصول الثابتة لـ Cloudflare Workers، ضع ملف _headers بسيطًا بجانب ملفات موقعك:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

لدى الاستضافات الأخرى مكانها الخاص: add_header في nginx، أو Header set في Apache، أو لوحة الاستضافة لديك.

12اختبر موقعك

أدخل عنوانك وأكّد أن لديك إذنًا بفحصه. يُرسل طلب عادي واحد كما يفعل أي متصفح، ولا يُخزَّن شيء.