WordPress

WordPress za te glave nima nastavitve. Dodajte jih z brezplačnim vtičnikom Code Snippets (Snippets → Add New, izvajanje povsod) ali na konec datoteke functions.php v podrejeni temi (child theme):

add_action('send_headers', function () {
    header("Content-Security-Policy: frame-ancestors 'self'; base-uri 'self'; object-src 'none'");
    header('X-Content-Type-Options: nosniff');
    header('X-Frame-Options: SAMEORIGIN');
    header('Referrer-Policy: strict-origin-when-cross-origin');
});

To se izvede samo, kadar odgovor sestavi WordPress sam. Vtičniki za predpomnjenje, kot sta WP Rocket ali LiteSpeed Cache, pogosto postrežejo shranjeno kopijo strani, ne da bi zagnali PHP, in ta kopija gre ven brez glav. Če preverjanje glave po tem, ko počistite predpomnilnik, še vedno pogreša, jih nastavite na strežniku ali v Cloudflaru (glejte ta zavihka).

cPanel

cPanel nima zaslona za glave odgovora. Dodajte jih na vrh datoteke .htaccess v korenski mapi strani (File Manager, z vklopljenim Show Hidden Files):

<IfModule mod_headers.c>
    Header always set Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
</IfModule>

To deluje na Apachu in na LiteSpeedu, ki .htaccess bere enako. Shranite in poženite preverjanje. Če se ni nič spremenilo, ima gostitelj mod_headers izklopljen; podporo prosite, naj ga vklopi.

Plesk

Websites & Domains → example.com → Apache & nginx Settings, v Additional nginx directives dodajte:

add_header Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Kliknite OK; Plesk preveri sintakso in znova naloži nginx. Če katero od teh glav že pošilja aplikacija na strani (vtičnik WordPressa, ogrodje), jo bo odgovor vseboval dvakrat. Odstranite jo na enem od obeh mest.

nginx

Glave dodajte v blok server { … } strani: na Debianu in Ubuntuju v /etc/nginx/sites-available/example.com, na Rocky, Alma in CentOS v /etc/nginx/conf.d/example.com.conf:

server {
    # …
    add_header Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
}

always jih doda tudi stranem z napako in preusmeritvam. Pazite na eno past nginxa: blok location z lastnim add_header (na primer za glave predpomnjenja) za datoteke, ki jih zajame, zavrže vse glave z ravni server. V takem bloku štiri vrstice ponovite ali jih hranite v ločeni datoteki in jo z include vključite na obeh mestih.

sudo nginx -t && sudo systemctl reload nginx

Apache in LiteSpeed

Z dostopom do strežnika (Apache). Vklopite mod_headers (na Debianu in Ubuntuju: sudo a2enmod headers) in glave dodajte v <VirtualHost *:443> strani: na Debianu in Ubuntuju v /etc/apache2/sites-available/example.com-le-ssl.conf ali podobno, na Rocky, Alma in CentOS v /etc/httpd/conf.d/:

Header always set Content-Security-Policy "frame-ancestors 'self'; base-uri 'self'; object-src 'none'"
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"

sudo apachectl configtest && sudo systemctl reload apache2

(Na Rocky, Alma in CentOS httpd namesto apache2.)

Brez dostopa do strežnika (deljeno gostovanje, LiteSpeed). Iste štiri vrstice dodajte v .htaccess v korenu strani, ovite v <IfModule mod_headers.c> … </IfModule> kot v zavihku cPanel.

Cloudflare

Če stran teče za Cloudflarom (oranžen oblak), lahko Cloudflare glave doda tudi na brezplačnem paketu, za vse strani in datoteke, ne glede na to, kaj pošlje izvorni strežnik:

1. Odprite domeno in pojdite na Rules → Transform Rules → Modify Response Header.
2. Create rule, poimenujte ga Security headers in ga uporabite za All incoming requests.
3. Dodajte štiri vnose s Set static: ime glave in vrednost kot v zgornji tabeli (na primer X-Content-Type-Options in nosniff), nato kliknite Deploy.

Cloudflare ima tudi upravljano transformacijo Add security headers. Ta nastavi X-Content-Type-Options, X-Frame-Options in Referrer-Policy, ne pa Content-Security-Policy, zato za to glavo pravilo še vedno potrebujete.

Node.js in Next.js

Next.js: v next.config.js:

const securityHeaders = [
    { key: 'Content-Security-Policy', value: "frame-ancestors 'self'; base-uri 'self'; object-src 'none'" },
    { key: 'X-Content-Type-Options', value: 'nosniff' },
    { key: 'X-Frame-Options', value: 'SAMEORIGIN' },
    { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
];

module.exports = {
    async headers() {
        return [{ source: '/:path*', headers: securityHeaders }];
    },
};

Express: majhen middleware pred vašimi potmi:

app.use((req, res, next) => {
    res.set({
        'Content-Security-Policy': "frame-ancestors 'self'; base-uri 'self'; object-src 'none'",
        'X-Content-Type-Options': 'nosniff',
        'X-Frame-Options': 'SAMEORIGIN',
        'Referrer-Policy': 'strict-origin-when-cross-origin',
    });
    next();
});

Priljubljeni paket helmet te in še druge glave nastavi v eni vrstici, vendar je njegov privzeti Content-Security-Policy strog in blokira skripte z drugih domen, tudi Google Tag Manager. Preden se nanj zanesete, nastavite njegovo možnost contentSecurityPolicy.

Laravel

Ustvarite middleware, na primer app/Http/Middleware/SecurityHeaders.php:

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;
use Symfony\Component\HttpFoundation\Response;

class SecurityHeaders
{
    public function handle(Request $request, Closure $next): Response
    {
        $response = $next($request);

        $response->headers->set('Content-Security-Policy', "frame-ancestors 'self'; base-uri 'self'; object-src 'none'");
        $response->headers->set('X-Content-Type-Options', 'nosniff');
        $response->headers->set('X-Frame-Options', 'SAMEORIGIN');
        $response->headers->set('Referrer-Policy', 'strict-origin-when-cross-origin');

        return $response;
    }
}

Registrirajte ga za vse zahtevke v bootstrap/app.php (Laravel 11 in novejši):

->withMiddleware(function (Middleware $middleware) {
    $middleware->append(\App\Http\Middleware\SecurityHeaders::class);
})

Datoteke v public/ (CSS, JavaScript, slike) streže spletni strežnik brez Laravela, zato teh glav ne dobijo. Za kontrolni seznam je to v redu: ta pogleda stran.

IIS in ASP.NET

V datoteki web.config strani:

<configuration>
  <system.webServer>
    <httpProtocol>
      <customHeaders>
        <add name="Content-Security-Policy" value="frame-ancestors 'self'; base-uri 'self'; object-src 'none'" />
        <add name="X-Content-Type-Options" value="nosniff" />
        <add name="X-Frame-Options" value="SAMEORIGIN" />
        <add name="Referrer-Policy" value="strict-origin-when-cross-origin" />
      </customHeaders>
    </httpProtocol>
  </system.webServer>
</configuration>

Če katero od njih nastavi tudi aplikacija v kodi, IIS pošlje obe vrednosti. Obdržite eno.