Карточка Middle Безопасность веб-приложения обновлено
Заголовки безопасности
Вопрос
Какие HTTP-заголовки безопасности стоит отдавать?
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
Strict-Transport-Security (HSTS: только HTTPS), Content-Security-Policy (откуда можно грузить скрипты), X-Content-Type-Options: nosniff, Referrer-Policy, защита от встраивания во фрейм (X-Frame-Options или frame-ancestors в CSP).
Ответ
Strict-Transport-Security (HSTS: только HTTPS), Content-Security-Policy (откуда можно грузить скрипты), X-Content-Type-Options: nosniff, Referrer-Policy, защита от встраивания во фрейм (X-Frame-Options или frame-ancestors в CSP).
Разбор
В Django большинство включается настройками SECURE_* и SecurityMiddleware, XFrameOptionsMiddleware. CSP настраивают отдельно (пакет django-csp; в последних версиях Django появилась встроенная поддержка).
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.