Webbsäkerhet · · 7 min läsning
Säkerhetsrubriker: fem rader konfiguration som gör er webbplats svårare att angripa
HSTS, Content-Security-Policy och tre till – vad de gör, vad de inte gör och hur ni inför dem utan att något går sönder.
Värn
Redaktionen
HTTP-säkerhetsrubriker (security headers) är instruktioner som er webbserver skickar till besökarens webbläsare. De kostar nästan ingenting att införa, men stänger flera vanliga angreppsvägar. Här är fem som alla företagswebbplatser bör ha.
Skyddsmekanism, inte sårbarhet
Att en rubrik saknas betyder inte att webbplatsen är hackbar. Det betyder att ett extra skyddslager saknas om något annat – till exempel ett tillägg i ert CMS – skulle brista.
1. Strict-Transport-Security (HSTS)
Talar om för webbläsaren att alltid använda HTTPS mot er domän. Utan HSTS kan en angripare på samma nätverk – till exempel ett publikt wifi – försöka nedgradera besökaren till okrypterad HTTP.
Strict-Transport-Security: max-age=31536000; includeSubDomains
Börja gärna med en kortare max-age och höj när ni vet att allt fungerar. Lägg bara till includeSubDomains om alla underdomäner har HTTPS.
2. Content-Security-Policy (CSP)
Begränsar vilka skript, stilmallar och andra resurser sidan får ladda. Det är det mest effektiva skyddet mot cross-site scripting (XSS) – men också det som kräver mest eftertanke.
Content-Security-Policy: default-src 'self'; img-src 'self' data:; object-src 'none'; frame-ancestors 'none'
Inför CSP stegvis: börja med Content-Security-Policy-Report-Only för att se vad som skulle blockeras, justera policyn och slå sedan på den skarpt. Undvik 'unsafe-inline' för skript – använd nonce eller hash i stället.
3. X-Content-Type-Options
Hindrar webbläsaren från att gissa filtyp, vilket annars kan få en uppladdad fil att tolkas som skript.
X-Content-Type-Options: nosniff
4. Skydd mot inramning
Förhindrar att er sida bäddas in i en osynlig ram på en annan webbplats för att lura besökare att klicka (clickjacking). Använd CSP-direktivet frame-ancestors eller den äldre rubriken:
X-Frame-Options: DENY
5. Referrer-Policy
Styr hur mycket av adressen som skickas vidare när besökaren klickar på en länk till en annan webbplats. Utan policy kan adresser med känsliga parametrar läcka.
Referrer-Policy: strict-origin-when-cross-origin
Bonus: dölj versionsnummer
Rubriker som Server: Apache/2.4.41 eller X-Powered-By: PHP/7.4 berättar exakt vilken programvara ni kör. Det är inte en sårbarhet i sig, men gör det enklare för en angripare att hitta kända brister. Stäng av versionsinformationen i webbserverns konfiguration.
Var lägger man in rubrikerna?
Det beror på var webbplatsen körs: i webbserverns konfiguration (nginx, Apache, IIS), i ett CDN som Cloudflare, hos webbhotellet eller i plattformens inställningar. Många CMS har även tillägg för det.
Så hjälper Värn
Värn kontrollerar alla rubriker ovan på varje verifierad webbplats, förklarar varje brist och ger konkreta exempel på konfiguration. När ni infört en rubrik stängs fyndet automatiskt vid nästa skanning – och om den senare försvinner, till exempel efter en uppdatering, öppnas fyndet igen.
