Biztonsági fejlécek

Biztonsági fejlécek nélkül a látogatók böngészője nem tudja, hogy blokkolnia kell-e a kockázatos viselkedést, például a nem engedélyezett szkriptek betöltését, vagy azt, hogy a webhelyet beágyazzák egy iFrame-be. Ez kattintáscsaláshoz (clickjacking), adatbeszúráshoz és fiókok megszerzéséhez vezethet. A bővítmény egyszerű felületet ad négy alapvető fejléc beállításához, amelyek a böngészőt szigorú szabályok betartására utasítják.

A négy fejléc:

• X-Frame-Options: védelem a kattintáscsalás ellen.
• X-Content-Type-Options: a rosszindulatú fájlok végrehajtásának megakadályozása.
• Referrer-Policy: a hivatkozási adatokban kiadott információ korlátozása.
• Content-Security-Policy: annak korlátozása, honnan tölthetők be erőforrások.

Bekapcsolás

1. Nyisd meg a Biztonság → Beállítások → Advanced oldalt.
2. Keresd meg a Biztonsági fejlécek modult, és kapcsold be.
3. Bontsd ki a modult: öt új beállítás jelenik meg.
4. Állítsd be a kívánt értékeket, és mentsd a módosítást.

Az áttekintést a Haladó beállítások fejezet adja. A fejlécek az Advanced részben vannak, mert hibás beállítás elronthatja a webhelyet.

Szerverkonfiguráció használata

Alapesetben a bővítmény PHP-n keresztül állítja elő a fejléceket. Ez biztonságosabb azoknak, akik nem ismerik a szerverkonfigurációs fájlok módosításának következményeit. A Szerverkonfiguráció használata (Use server configuration) kapcsolóval a fejléceket közvetlenül a webszerver (Apache vagy NGINX) is kezelheti, ami gyorsabb.

Ha bekapcsolod:

1. A fejléceket a PHP már nem állítja elő.
2. A bővítmény a szükséges szabályokat az Apache .htaccess vagy az NGINX nginx.conf fájljába írja.

NGINX használatakor a mentés után kézzel újra kell töltened az NGINX-et, hogy a módosítás érvénybe lépjen. A konfigurációs fájlok tartalmát a Beállítások → Eszközök → Server Config Rules nézetben ellenőrizheted.

A fejlécek beállításai

X-Frame-Options

Azt szabályozza, hogy a webhelyed betölthető-e másik webhelyen egy iFrame-ben. A kattintáscsalás ellen véd: a támadó átlátszóan beágyazza az oldaladat egy rosszindulatú oldalba, és rávesz a látogatót, hogy észrevétlenül rákattintson egy gombra (például „Fiók törlése”), vagy megadjon adatokat. Három lehetőség van: beágyazás ugyanarról a forrásról, megadott forrásokról, vagy teljes tiltás.

X-Content-Type-Options

Megakadályozza, hogy a böngésző a tartalom alapján találgassa a fájl típusát („sniffing”), így a szerver által küldött MIME-típust kell használnia. Így nem lehet ártalmatlan fájlnak álcázni rosszindulatú fájlt: ha egy képnek nevezett fájl szkript, nem fut le. A bevált beállítás a nosniff.

Referrer-Policy

Azt szabályozza, mennyi hivatkozási adatot ad át a böngésző a következő webhelynek, ha a látogató kattint egy külső hivatkozásra. Megakadályozza, hogy az URL-ekben lévő érzékeny adat (visszaállítási token, belső felhasználónév, privát lekérdezés) kikerüljön. Több szabály közül választhatsz: például no-referrer (semmilyen adat nem megy át), vagy strict-origin-when-cross-origin (csak akkor küld adatot, ha a cél is biztonságos).

Content-Security-Policy (CSP)

Erős védelmi réteg: korlátozza, mely tartományokról tölthet be a böngésző szkripteket, stílusokat, képeket és más tartalmat. Megakadályozza a webhelyek közötti szkriptelést (XSS) és az adatbeszúrást: ha a támadó mégis bejutna, a szigorú CSP miatt a külső rosszindulatú szkriptjei nem töltődnek be a látogatók böngészőjében.

A mezőt a bővítmény nem ellenőrzi, ezért a szabálynak szintaktikailag helyesnek kell lennie. Érdemes a szabályt egy erre való eszközzel (például a Report URI-val) előállítani, és csak utána beilleszteni.

Figyelés és ellenőrzés

• Automatikus ellenőrzés: egy napi ütemezett feladat (cron) ellenőrzi a fejlécek állapotát.
• Értesítés: ha a fejlécek hiányoznak, hibásak vagy nincsenek jelen, értesítést kapsz.
• Napló: az ellenőrzés által talált hibák Critical (kritikus) problémaként kerülnek a naplóba, azonnali figyelmet kérnek.

Fontos tudnivalók

• Hibás beállítás kockázata: a rossz fejléc (különösen a Content-Security-Policy) elronthatja a webhely működését: jogos szkripteket vagy stílusokat blokkolhat. Csak akkor használd, ha érted a beállításokat.
• CSP nincs ellenőrizve: a mezőbe írt szöveget a bővítmény nem validálja.
• Proxy és WAF: győződj meg róla, hogy a beállítás nem ütközik a használt proxyszolgáltatásokkal vagy webalkalmazás-tűzfalakkal.
• Kezdj PHP-val: először az alapértelmezett PHP-s módot használd, mert biztonságosabb, és hiba esetén könnyebb visszaállítani.
• Figyeld a naplókat és az értesítéseket, hogy lásd, a fejlécek jól működnek-e, és nem zavarják-e a látogatókat.