Web sitesi güvenlik başlıkları: bugün düzeltebileceğiniz 9 maddelik kontrol listesi

01Başlıklar neden önemli

Güvenlik başlıkları ziyaretçinin tarayıcısına riskli davranışları reddetmesini söyler: sayfanızı başkasının çerçevesinde yüklemek, dosya türünü tahmin etmek, tam adresinizi diğer sitelere göndermek veya bilinmeyen yerlerden betik çalıştırmak. Hiçbir maliyeti yoktur, sayfaya yük bindirmez ve bütün saldırı türlerini engeller.

021. Geçerli sertifikayla HTTPS

Her şey buradan başlar. Sitenin tamamı, geçerli ve süresi dolmamış bir sertifikayla HTTPS üzerinden yüklenmelidir. Let's Encrypt veya CDN sağlayıcınızın ücretsiz sertifikaları yeterlidir.

032. HTTP, HTTPS'e yönlenir

Biri düz http:// adresini yazarsa sunucu, https:// sürümüne kalıcı bir yönlendirmeyle yanıt vermelidir.

043. HSTS: HTTPS kullanmayı hatırla

Strict-Transport-Security başlığı, ziyaretçi http yazsa bile tarayıcıya alan adınız için uzun süre HTTPS kullanmasını söyler.

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. İçerik Güvenliği Politikası (CSP)

CSP, betiklerin, stillerin ve görsellerin nereden yüklenebileceğini listeler. Siteler arası betik çalıştırmaya (XSS) karşı en güçlü savunmadır ve doğru yapılandırılması en zor başlıktır.

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. Clickjacking koruması

Başka sitelerin sayfalarınızı gizli bir çerçevede göstermesini engelleyin. Modern yol CSP içindeki frame-ancestors, X-Frame-Options ise eski tarayıcıları kapsar.

X-Frame-Options: DENY

076. X-Content-Type-Options

Tarayıcıya, bildirilen dosya türüne güvenmesini ve tahmin etmemesini söyler. Tek satır, hiçbir dezavantajı yok.

X-Content-Type-Options: nosniff

087. Referrer-Policy

Ziyaretçi başka bir siteye giden bağlantıya tıkladığında sayfa adresinizin ne kadarının paylaşılacağını belirler.

Referrer-Policy: strict-origin-when-cross-origin

098. Teknoloji sızıntısı olmasın

Server: nginx/1.18.0 veya X-Powered-By: PHP/7.4 gibi başlıklar, saldırganlara hangi sürümleri arayacaklarını tam olarak söyler. Platformunuz izin veriyorsa bunları kaldırın veya gizleyin.

109. Güvenli çerezler

Oturum bilgisini tutan çerezlerde Secure (yalnızca HTTPS), HttpOnly (betikler okuyamaz) ve SameSite (siteler arası gönderimi sınırlar) bulunmalıdır.

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11Nerede ayarlanır

Cloudflare Workers statik varlıklarında, site dosyalarınızın yanına düz bir _headers dosyası koyun:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

Diğer barındırıcıların kendi yeri vardır: nginx'te add_header, Apache'de Header set ya da barındırma panelinizdeki ayarlar.

12Web sitenizi test edin

Adresinizi yazın ve kontrol etme izniniz olduğunu onaylayın. Herhangi bir tarayıcı gibi tek bir normal istek gönderilir, hiçbir şey saklanmaz.