HTTP Security Headers — 7 obaveznih headera

Kompletni vodic za konfiguraciju bezbednosnih headera koji stite vas sajt od XSS, clickjacking i drugih napada

1. Sta su HTTP security headeri

HTTP headeri su meta-podaci koji se razmenjuju izmedju klijenta (browser-a) i servera prilikom svakog HTTP zahteva i odgovora. Security headeri su specificna podgrupa response headera koji instruisu browser da primeni bezbednosne politike.

Bez security headera, vas sajt je podlozan:

• XSS napadima — Napadac ubacuje maliciozne skripte (sprecava CSP)
• Clickjacking napadima — Vas sajt se ucitava u nevidljiv iframe (sprecava X-Frame-Options)
• MIME sniffing napadima — Browser pogresno interpretira tip fajla (sprecava X-Content-Type-Options)
• Downgrade napadima — Forsiranje HTTP umesto HTTPS (sprecava HSTS)
• Data leaking — Curenje podataka kroz Referer header (sprecava Referrer-Policy)

Prema Mozilla Observatory podacima, samo oko 7% sajtova ima implementiran Content-Security-Policy header, sto znaci da je ogromna vecina web sajtova ranjiva na napade koje CSP moze da spreci.

Referenca: OWASP Secure Headers Project

2. Strict-Transport-Security (HSTS)

HSTS je header koji nareduje browser-u da uvek koristi HTTPS za komunikaciju sa vasim sajtom. Definisan je u RFC 6797.

Zasto je HSTS vazan

Bez HSTS-a, cak i sajtovi sa HTTPS-om su ranjivi na SSL stripping napad (alat: sslstrip). Napadac na istoj mrezi moze presresti prvu HTTP konekciju pre nego sto se redirekcija na HTTPS izvrsi.

Parametri

• max-age — Vreme u sekundama koliko browser pamti da koristi HTTPS (preporuka: 63072000 = 2 godine)
• includeSubDomains — Primenjuje politiku i na sve poddomene
• preload — Dozvoljava dodavanje na browser-ovu preload listu

Konfiguracija

# Nginx
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# Apache
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

# Express.js (sa helmet middleware-om)
const helmet = require('helmet');
app.use(helmet.hsts({
  maxAge: 63072000,
  includeSubDomains: true,
  preload: true
}));

Referenca: MDN — Strict-Transport-Security

3. Content-Security-Policy (CSP)

Content-Security-Policy je najmocaniji security header. On kontrolise koje resurse browser sme da ucita i izvrsi na vasoj stranici. CSP je definisan u W3C CSP Level 3 specifikaciji.

Kljucne direktive

Direktiva	Kontrolise	Primer
default-src	Fallback za sve tipove	'self'
script-src	JavaScript izvore	'self' 'nonce-abc123'
style-src	CSS izvore	'self' 'unsafe-inline'
img-src	Izvore slika	'self' data: https:
connect-src	API/fetch/WebSocket	'self' https://api.example.com
font-src	Font izvore	'self' https://fonts.gstatic.com
frame-src	Iframe izvore	'none'
object-src	Plugin-e (Flash, Java)	'none'
base-uri	<base> tag	'self'
form-action	Forme (action URL)	'self'
report-uri	URL za prijavu krsenja	/csp-report

Primer stroge CSP politike

# Nginx
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-RANDOM'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; object-src 'none'; frame-ancestors 'none'; base-uri 'self'; form-action 'self';" always;

# Apache
Header always set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; object-src 'none'; frame-ancestors 'none';"

# Express.js
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'"],
    styleSrc: ["'self'", "'unsafe-inline'"],
    imgSrc: ["'self'", "data:", "https:"],
    objectSrc: ["'none'"],
    frameAncestors: ["'none'"]
  }
}));

Referenca: MDN — Content Security Policy

4. X-Frame-Options

X-Frame-Options kontrolise da li se vasa stranica moze prikazati unutar <iframe>, <frame> ili <object> elementa. Ovo je kljucna zastita od clickjacking napada.

Sta je clickjacking

U clickjacking napadu, napadac ucitava vas sajt u nevidljiv iframe na svojoj stranici. Korisnik misli da klikce na napadacevu stranicu, ali zapravo klikce na dugmad na vasem sajtu — moze nesvesno promeniti lozinku, obrisati nalog ili izvrsiti transakciju.

Vrednosti

• DENY — Stranica se nikada ne moze prikazati u iframe-u (najbezbednije)
• SAMEORIGIN — Samo sa istog domena
• ALLOW-FROM uri — Dozvoljeno samo sa navedenog URI-ja (deprecated, slaba podrska)

Konfiguracija

# Nginx
add_header X-Frame-Options "DENY" always;

# Apache
Header always set X-Frame-Options "DENY"

# Express.js
app.use(helmet.frameguard({ action: 'deny' }));

Referenca: MDN — X-Frame-Options

5. X-Content-Type-Options

Ovaj header sprecava MIME type sniffing — ponasanje browser-a gde on ignorise deklarisani Content-Type i pokusava da "pogodi" tip sadrzaja na osnovu samog sadrzaja fajla.

Kako MIME sniffing napad radi

Napadac uploada fajl koji izgleda kao slika (npr. image.jpg) ali zapravo sadrzi JavaScript kod. Bez ovog headera, browser moze da izvrsi taj kod umesto da ga prikaze kao sliku. Ovo je posebno opasno na sajtovima koji dozvoljavaju upload fajlova.

Jedina vrednost

X-Content-Type-Options: nosniff

Konfiguracija

# Nginx
add_header X-Content-Type-Options "nosniff" always;

# Apache
Header always set X-Content-Type-Options "nosniff"

# Express.js
app.use(helmet.noSniff());

Referenca: MDN — X-Content-Type-Options

6. Referrer-Policy

Referrer-Policy kontrolise koliko informacija o URL-u se salje u Referer header-u kada korisnik navigira sa vaseg sajta na drugi sajt. Ovo je vazno za privatnost korisnika i sprecavanje curenja osetljivih podataka u URL-ovima.

Dostupne opcije

Vrednost	Ponasanje	Preporuka
no-referrer	Nikada ne salje Referer	Maksimalna privatnost
no-referrer-when-downgrade	Salje za HTTPS->HTTPS, ne za HTTPS->HTTP	Browser default
origin	Salje samo origin (domen bez putanje)	Dobar balans
origin-when-cross-origin	Pun URL za isti domen, samo origin za drugi	Dobar balans
same-origin	Salje samo za isti domen	Stroga privatnost
strict-origin	Samo origin, ne za downgrade	Preporuceno
strict-origin-when-cross-origin	Pun URL za isti domen, origin za drugi, nista za downgrade	Najbolja preporuka
unsafe-url	Uvek salje pun URL	Ne koristiti

Konfiguracija

# Nginx
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Apache
Header always set Referrer-Policy "strict-origin-when-cross-origin"

# Express.js
app.use(helmet.referrerPolicy({
  policy: 'strict-origin-when-cross-origin'
}));

Referenca: MDN — Referrer-Policy

7. Permissions-Policy

Permissions-Policy (ranije Feature-Policy) kontrolise koje browser API-je i funkcije vas sajt i ugradjeni iframe-ovi smeju da koriste. Ovo sprecava zloupotrebe poput neovlascenog pristupa kameri, mikrofonu ili lokaciji.

Kljucne funkcije za kontrolu

• camera — Pristup kameri
• microphone — Pristup mikrofonu
• geolocation — Pristup lokaciji
• payment — Payment Request API
• usb — WebUSB API
• autoplay — Automatsko pustanje medija
• fullscreen — Fullscreen API
• interest-cohort — FLoC (Google Privacy Sandbox)

Konfiguracija

# Nginx
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=(), interest-cohort=()" always;

# Apache
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=(), interest-cohort=()"

# Express.js
app.use(helmet.permittedCrossDomainPolicies());
// Ili rucno:
app.use((req, res, next) => {
  res.setHeader('Permissions-Policy',
    'camera=(), microphone=(), geolocation=(), payment=()');
  next();
});

Referenca: MDN — Permissions-Policy

8. Cross-Origin-Opener-Policy (COOP)

COOP izoluje vas browsing kontekst od cross-origin prozora. Ovo je zastita od Spectre-klase napada koji mogu da procitaju memoriju iz drugih procesa browser-a.

Zasto je COOP vazan

Spectre napadi (CVE-2017-5753, CVE-2017-5715) su otkrili da JavaScript u browser-u moze da cita memoriju iz drugih procesa koristeci speculative execution. COOP, zajedno sa COEP (Cross-Origin-Embedder-Policy), omogucava site isolation i pristup high-resolution timer-ima (SharedArrayBuffer) na bezbedan nacin.

Vrednosti

• unsafe-none — Nema izolacije (default)
• same-origin — Izoluje prozor od cross-origin opener-a
• same-origin-allow-popups — Izolacija, ali dozvoljava popupe

Konfiguracija

# Nginx
add_header Cross-Origin-Opener-Policy "same-origin" always;

# Apache
Header always set Cross-Origin-Opener-Policy "same-origin"

# Express.js
app.use(helmet.crossOriginOpenerPolicy({ policy: 'same-origin' }));

Referenca: MDN — Cross-Origin-Opener-Policy

9. Pregled svih headera

Header	Preporucena vrednost	Stiti od	Severity
Strict-Transport-Security	max-age=63072000; includeSubDomains; preload	SSL stripping, downgrade	Kriticno
Content-Security-Policy	default-src 'self'; script-src 'self'	XSS, injection	Kriticno
X-Frame-Options	DENY	Clickjacking	Visoko
X-Content-Type-Options	nosniff	MIME sniffing	Srednje
Referrer-Policy	strict-origin-when-cross-origin	Data leaking	Srednje
Permissions-Policy	camera=(), microphone=()	Neovlasceni pristup	Srednje
Cross-Origin-Opener-Policy	same-origin	Spectre napadi	Srednje

Kompletna Nginx konfiguracija

# Dodajte u server blok ili http blok
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; object-src 'none'; frame-ancestors 'none'; base-uri 'self'; form-action 'self';" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;

10. Reference i resursi

• OWASP Secure Headers Project — Kompletna lista preporucenih headera
• Mozilla Observatory — Besplatan skener za security headere
• SecurityHeaders.com — Brzi skener headera
• MDN — HTTP Headers — Kompletna referenca
• Helmet.js — Security headers middleware za Express.js
• RFC 6797 — HSTS
• W3C — Content Security Policy Level 3
• OWASP HTTP Headers Cheat Sheet

Skenirajte security headere vaseg sajta

# Nginx
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

# Apache
Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"

# Express.js (with helmet middleware)
const helmet = require('helmet');
app.use(helmet.hsts({
  maxAge: 63072000,
  includeSubDomains: true,
  preload: true
}));

# Nginx
add_header Content-Security-Policy "default-src 'self'; script-src 'self' 'nonce-RANDOM'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self' https://fonts.gstatic.com; object-src 'none'; frame-ancestors 'none'; base-uri 'self'; form-action 'self';" always;

# Apache
Header always set Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; object-src 'none'; frame-ancestors 'none';"

# Express.js
app.use(helmet.contentSecurityPolicy({
  directives: {
    defaultSrc: ["'self'"],
    scriptSrc: ["'self'"],
    styleSrc: ["'self'", "'unsafe-inline'"],
    imgSrc: ["'self'", "data:", "https:"],
    objectSrc: ["'none'"],
    frameAncestors: ["'none'"]
  }
}));

# Nginx
add_header X-Frame-Options "DENY" always;

# Apache
Header always set X-Frame-Options "DENY"

# Express.js
app.use(helmet.frameguard({ action: 'deny' }));

# Nginx
add_header X-Content-Type-Options "nosniff" always;

# Apache
Header always set X-Content-Type-Options "nosniff"

# Express.js
app.use(helmet.noSniff());

# Nginx
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

# Apache
Header always set Referrer-Policy "strict-origin-when-cross-origin"

# Express.js
app.use(helmet.referrerPolicy({
  policy: 'strict-origin-when-cross-origin'
}));

# Nginx
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=(), interest-cohort=()" always;

# Apache
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=(), usb=(), interest-cohort=()"

# Express.js
app.use((req, res, next) => {
  res.setHeader('Permissions-Policy',
    'camera=(), microphone=(), geolocation=(), payment=()');
  next();
});

# Nginx
add_header Cross-Origin-Opener-Policy "same-origin" always;

# Apache
Header always set Cross-Origin-Opener-Policy "same-origin"

# Express.js
app.use(helmet.crossOriginOpenerPolicy({ policy: 'same-origin' }));

# Add to server or http block
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data: https:; font-src 'self'; object-src 'none'; frame-ancestors 'none'; base-uri 'self'; form-action 'self';" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=(), payment=()" always;
add_header Cross-Origin-Opener-Policy "same-origin" always;