Карточка Middle Сессии и безопасность обновлено
Заголовки безопасности
Вопрос
Какие HTTP-заголовки безопасности стоит отдавать?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
- Content-Security-Policy: откуда можно грузить скрипты и стили, сильная защита от XSS. - Strict-Transport-Security: только HTTPS. - X-Content-Type-Options: nosniff. - X-Frame-Options: DENY или frame-ancestors в CSP: защита от кликджекинга. - Referrer-Policy.
Ответ
Content-Security-Policy: откуда можно грузить скрипты и стили, сильная защита от XSS.Strict-Transport-Security: только HTTPS.X-Content-Type-Options: nosniff.X-Frame-Options: DENYилиframe-ancestorsв CSP: защита от кликджекинга.Referrer-Policy.
Разбор
Их удобно выставлять на уровне nginx или middleware фреймворка.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.