WordPress

WordPress nie ma ustawienia dla tych nagłówków. Dodaj je za pomocą darmowej wtyczki Code Snippets (Snippets → Add New, uruchamiaj wszędzie) albo na końcu pliku functions.php motywu potomnego (child theme):

add_action('send_headers', function () {
    header("Content-Security-Policy: frame-ancestors 'self'; base-uri 'self'; object-src 'none'");
    header('X-Content-Type-Options: nosniff');
    header('X-Frame-Options: SAMEORIGIN');
    header('Referrer-Policy: strict-origin-when-cross-origin');
});

To działa tylko wtedy, gdy odpowiedź buduje sam WordPress. Wtyczki cache, takie jak WP Rocket czy LiteSpeed Cache, często serwują zapisaną kopię strony bez uruchamiania PHP, a ta kopia wychodzi bez nagłówków. Jeśli po wyczyszczeniu cache sprawdzenie nadal ich nie widzi, ustaw je na serwerze albo w Cloudflare (zobacz te zakładki).

cPanel

cPanel nie ma ekranu do nagłówków odpowiedzi. Dodaj je na początku pliku .htaccess w głównym folderze strony (File Manager, z włączonym Show Hidden Files):

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

Działa to na Apache i na LiteSpeed, który czyta .htaccess tak samo. Zapisz i uruchom sprawdzenie. Jeśli nic się nie zmieniło, hosting ma wyłączony mod_headers; poproś wsparcie o jego włączenie.

Plesk

Websites & Domains → example.com → Apache & nginx Settings, w Additional nginx directives dodaj:

add_header Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Kliknij OK; Plesk sprawdzi składnię i przeładuje nginx. Jeśli aplikacja na stronie (wtyczka WordPressa, framework) już wysyła któryś z tych nagłówków, odpowiedź będzie go zawierać dwa razy. Usuń go w jednym z tych miejsc.

nginx

Umieść nagłówki w bloku server { … } strony: na Debianie i Ubuntu w /etc/nginx/sites-available/example.com, na Rocky, Alma i CentOS w /etc/nginx/conf.d/example.com.conf:

server {
    # …
    add_header Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

always dodaje je także do stron błędów i przekierowań. Uważaj na jedną pułapkę nginx: blok location z własnym add_header (na przykład dla nagłówków cache) porzuca wszystkie nagłówki z poziomu server dla plików, które obejmuje. Powtórz w takim bloku cztery linie albo trzymaj je w osobnym pliku i dołącz go przez include w obu miejscach.

sudo nginx -t && sudo systemctl reload nginx

Apache i LiteSpeed

Z dostępem do serwera (Apache). Włącz mod_headers (na Debianie i Ubuntu: sudo a2enmod headers) i dodaj nagłówki do <VirtualHost *:443> strony: na Debianie i Ubuntu w /etc/apache2/sites-available/example.com-le-ssl.conf lub podobnym, na Rocky, Alma i CentOS w /etc/httpd/conf.d/:

Header always set Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'"
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"

sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma i CentOS httpd zamiast apache2.)

Bez dostępu do serwera (hosting współdzielony, LiteSpeed). Wstaw te same cztery linie do .htaccess w głównym folderze strony, otoczone <IfModule mod_headers.c> … </IfModule> jak w zakładce cPanel.

Cloudflare

Jeśli strona działa za Cloudflare (pomarańczowa chmurka), Cloudflare może dodać nagłówki także na darmowym planie, dla każdej strony i pliku, niezależnie od tego, co wysyła serwer źródłowy:

1. Otwórz domenę i przejdź do Rules → Transform Rules → Modify Response Header.
2. Create rule, nazwij ją Security headers i zastosuj do All incoming requests.
3. Dodaj cztery wpisy z Set static: nazwa nagłówka i wartość jak w tabeli powyżej (na przykład X-Content-Type-Options i nosniff), potem Deploy.

Cloudflare ma też zarządzaną transformację Add security headers. Ustawia ona X-Content-Type-Options, X-Frame-Options i Referrer-Policy, ale nie Content-Security-Policy, więc dla tego nagłówka reguła nadal jest potrzebna.

Node.js i Next.js

Next.js: w next.config.js:

const securityHeaders = [
    { key: 'Content-Security-Policy', value: "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" },
    { key: 'X-Content-Type-Options', value: 'nosniff' },
    { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
    { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
];

module.exports = {
    async headers() {
        return [{ source: '/:path*', headers: securityHeaders }];
    },
};

Express: mały middleware przed Twoimi trasami:

app.use((req, res, next) => {
    res.set({
        'Content-Security-Policy': "frame-ancestors 'self'; base-uri 'self'; object-src 'none'",
        'X-Content-Type-Options': 'nosniff',
        'X-Frame-Options': 'SAMEORIGIN',
        'Referrer-Policy': 'strict-origin-when-cross-origin',
    });
    next();
});

Popularny pakiet helmet ustawia te i inne nagłówki jedną linią, ale jego domyślny Content-Security-Policy jest ścisły i blokuje skrypty z innych domen, w tym Google Tag Manager. Zanim na nim polegasz, skonfiguruj jego opcję contentSecurityPolicy.

Laravel

Utwórz middleware, na przykład app/Http/Middleware/SecurityHeaders.php:

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class SecurityHeaders
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);

        $response->headers->set('Content-Security-Policy', "frame-ancestors 'self'; base-uri 'self'; object-src 'none'");
        $response->headers->set('X-Content-Type-Options', 'nosniff');
        $response->headers->set('X-Frame-Options', 'SAMEORIGIN');
        $response->headers->set('Referrer-Policy', 'strict-origin-when-cross-origin');

        return $response;
    }
}

Zarejestruj go dla każdego żądania w bootstrap/app.php (Laravel 11 i nowsze):

->withMiddleware(function (Middleware $middleware) {
    $middleware->append(\App\Http\Middleware\SecurityHeaders::class);
})

Pliki w public/ (CSS, JavaScript, obrazy) serwuje serwer WWW bez Laravela, więc nie dostają tych nagłówków. Dla listy kontrolnej to w porządku: patrzy ona na stronę.

IIS i ASP.NET

W pliku web.config strony:

<configuration>
  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Content-Security-Policy" value="frame-ancestors 'self'; base-uri 'self'; object-src 'none'" />
        <add name="X-Content-Type-Options" value="nosniff" />
        <add name="X-Frame-Options" value="SAMEORIGIN" />
        <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</configuration>

Jeśli aplikacja ustawia któryś z nich również w kodzie, IIS wyśle obie wartości. Zostaw jedną.