Web sitesi güvenlik başlıkları: HSTS, CSP ve diğerleri neden önemli?

Bir web sitesi tarayıcıya sayfayı gönderirken yanında görünmeyen bazı bilgiler de gönderir. Bunlara HTTP başlıkları denir. Güvenlik başlıkları, tarayıcıya sitenin nasıl korunacağını söyler: yalnızca HTTPS ile açılsın, başka sitelerde çerçeve içinde gösterilmesin, yalnızca izin verilen kaynaklardan betik yüklensin gibi.

HSTS

Strict-Transport-Security başlığı, tarayıcıya sitenin belirli bir süre boyunca yalnızca HTTPS ile açılması gerektiğini söyler. Böylece kullanıcı adres çubuğuna "http" yazsa bile tarayıcı güvenli bağlantı kurar ve bazı ağ saldırıları zorlaşır. HTTPS'in tüm alt alan adlarında kalıcı olarak çalıştığından emin olmadan uzun süreli HSTS etkinleştirilmemelidir.

Content Security Policy (CSP)

CSP, sayfada hangi kaynaklardan betik, stil, görsel ve çerçeve yüklenebileceğini belirler. Sitenize bir şekilde zararlı betik enjekte edilse bile, izin verilmeyen bir kaynaktan geliyorsa tarayıcı çalıştırmaz. En etkili ama yapılandırması en dikkat gerektiren başlıktır; analiz araçları, sohbet eklentileri ve gömülü videolar için izinler doğru tanımlanmalıdır.

Çerçeveleme koruması

X-Frame-Options veya CSP'nin frame-ancestors yönergesi, sitenizin başka bir sitede görünmez bir çerçeve içinde açılmasını engeller. Bu, kullanıcıyı farkında olmadan sizin sitenizdeki bir düğmeye tıklatan saldırılara karşı korur.

Diğerleri

X-Content-Type-Options, tarayıcının dosya türünü tahmin etmesini engeller. Referrer-Policy, kullanıcı başka bir siteye geçtiğinde hangi adres bilgisinin gönderileceğini sınırlar. Permissions-Policy ise sitenin kamera, mikrofon ve konum gibi özellikleri kullanmasını kısıtlar.

Dikkatli uygulama

Başlıklar, özellikle CSP, önce raporlama modunda denenmeli ve sitenin tüm sayfaları test edilmelidir. Aksi hâlde iletişim formu, ödeme sayfası veya harita gibi bileşenler çalışmayabilir.

Başlıklar tek başına yetmez

Güvenlik başlıkları, güncel yazılım, güçlü yönetici şifreleri, düzenli yedek ve güvenlik açığı olmayan kodla birlikte anlam kazanır. WordPress siteler için WordPress güvenliği, sertifika yönetimi için SSL sertifika süreleri yazılarımıza bakabilirsiniz.

Kontrol

Ücretsiz çevrimiçi araçlarla sitenizin hangi başlıkları gönderdiğini kontrol edebilirsiniz. Eksik başlıklar varsa web geliştiricinizle birlikte planlı şekilde eklenmelidir. Bakım sürecinin parçası olarak düzenli gözden geçirme için site bakım sözleşmesi yazımıza bakabilirsiniz.

Sur Bilgisayar olarak geliştirdiğimiz web sitelerinde güvenlik başlıklarını sitenin yapısına uygun şekilde yapılandırıyoruz. Ayrıntılar için web yazılım hizmetleri sayfamıza bakabilirsiniz.