Prin intermediul directivei Header always set (din modulul mod_headers), administratorii pot injecta direct din Apache antetele esențiale de securitate web, protejând aplicațiile împotriva atacurilor de tip Cross-Site Scripting (XSS), Clickjacking, MIME-sniffing și scurgeri de date.
# Configurație recomandată de securitate în VirtualHost sau httpd.conf
<IfModule mod_headers.c>
# Previne încadrarea site-ului în iframe-uri pe domenii terțe
Header always set X-Frame-Options "SAMEORIGIN"
# Blochează interpretarea fișierelor ca alt tip MIME decât cel declarat
Header always set X-Content-Type-Options "nosniff"
# Controlează transmiterea informațiilor despre originea cererii
Header always set Referrer-Policy "strict-origin-when-cross-origin"
# Content Security Policy (CSP) pentru prevenirea injectării de scripturi
Header always set Content-Security-Policy "default-src 'self'; script-src 'self' https://trusted.cdn.com; img-src 'self' data:;"
</IfModule>De Ce „always”: Cuvântul cheie always asigură că antetele vor fi trimise chiar dacă serverul răspunde cu erori HTTP (ex: 404 Not Found sau 500 Internal Server Error), garantând protecția utilizatorilor în orice scenariu.
Directive Principale
Header always set <Nume> <Valoare>: Suprascrie sau adaugă antetul indiferent de codul de stare.Header unset <Nume>: Elimină un antet returnat de aplicația backend pentru a nu expune tehnologiile folosite (ex:X-Powered-By).
Întrebări & Exemple de Cod:
Antete de Securitate CSP, X-Frame-Options și X-Content-Type-OptionsAi o nelămurire despre utilizarea comenzii
Antete de Securitate CSP, X-Frame-Options și X-Content-Type-Optionssau ai descoperit un truc / fragment de cod util? Distribuie-l cu ceilalți programatori!Fii primul care pune o întrebare sau distribuie un fragment de cod / prompt!
Nu au fost adăugate încă întrebări sau exemple de cod pentru această pagină. Dacă ai întâlnit o problemă sau ai un snippet util, adaugă-l mai jos pentru a-i ajuta pe ceilalți.