Cosa sono le intestazioni di sicurezza
Ogni volta che un browser apre una pagina, il server invia insieme al contenuto alcune istruzioni nascoste, le intestazioni HTTP. Alcune servono a proteggere i visitatori: obbligano il browser a usare sempre la connessione cifrata, impediscono ad altri siti di mostrare il tuo dentro una cornice per ingannare chi clicca, limitano l’uso di fotocamera e microfono.
Le principali
- Strict-Transport-Security (HSTS): il browser userà sempre HTTPS, anche se qualcuno prova a forzare la connessione in chiaro.
- X-Frame-Options o frame-ancestors: protegge dal clickjacking.
- X-Content-Type-Options: evita che il browser interpreti i file in modo diverso da come sono dichiarati.
- Referrer-Policy: decide quali informazioni sulla pagina di provenienza passano agli altri siti.
- Content-Security-Policy: indica da dove possono arrivare script e risorse; è la difesa più forte contro gli script iniettati, ma va configurata con cura.
Nel risultato trovi le righe pronte da aggiungere al file .htaccess dei server Apache e LiteSpeed. Se il sito usa WordPress, prova anche il controllo di sicurezza WordPress.
