Praktisk teknisk støtte
Forstå en sikkerhetssjekk av et offentlig nettsted
Bruk observerbare bevis for å velge en fornuftig neste sjekk.Et grønt overskriftsmerke kan ikke fastslå at et helt nettsted er sikkert.
Sist gjennomgått:
Hva vi kan observere
Sikkerhetskontrollen for nettstedet Den sjekker den endelige tilkoblingen, utvalgte HTTP-overskrifter og et begrenset sett med ressursreferanser og skjemahandlinger i returnert HTML. Den logger ikke på, sender ikke inn skjemaer, kjører ikke nettstedskripter og tester ikke en utnyttelse.
HTTPS er nødvendig bevis, ikke en sikkerhetsdom
Et bekreftet sertifikat bidrar til å opprette en kryptert tilkobling til det forespurte vertsnavnet, men et skadelig nettsted kan også bruke HTTPS. Kontrollen vår reviderer ikke TLS-konfigurasjonen på tvers av protokoller, fastslår ikke operatørens ærlighet eller inspiserer private programdata.
HSTS er en separat nettleserinstruksjon som foretrekker HTTPS etter at policyen er lært. Begynn med å bruke HTTPS før du legger til en lang HSTS-levetid. Å inkludere underdomener eller be om forhåndsinnlasting kan påvirke tjenester utover siden du redigerer; ikke kopier en policy uten å sjekke denne dekningen.
Tilpasse kontrollen til formålet
| Kontroll | Et nyttig spørsmål |
|---|---|
| Retningslinjer for innholdssikkerhet | Begrenser policyen ressursene programmet virkelig trenger?Tilstedeværelse alene viser ikke at det blokkerer det aktuelle angrepet. |
| Innrammingsrestriksjoner | Skal denne siden bygges inn? Gjennomgå CSP frame-ancestors og eventuelle X-Frame-Options-hoder mot denne hensikten. |
| nosniff | Er ressurstyper servert riktig, med en matchende nettleserinstruksjon mot MIME-sniffing? |
| Henvisningspraksis | Nettleserstandarder, metapolicyer og individuelle koblinger spiller også en rolle, og det er viktig at du tar hensyn til dette. |
| Tillatelsespraksis | Hvilke nettleserfunksjoner trenger denne siden? Et kameraverktøy må ha de tillatelsene som trengs for å fungere. |
Lese funn med blandet innhold i en nettleser
En HTTP-bilde- eller skjemadestinasjon i et HTTPS-dokument er verdt å undersøke. Noen ressursforespørsler kan bli oppgradert eller blokkert av en nettleser. Kontrollen vår henter dem ikke, følger ikke deres omdirigeringer, inspiserer ikke CSS eller kjører ikke forespørsler som er opprettet med skript. Åpne utviklerverktøyene på din egen side for å bekrefte hva som faktisk skjer, og test deretter de viktige brukerreisene.
Hvorfor vi ikke kan sertifisere programvareoppdateringer
En offentlig tjener eller X- Powered- By- verdi er en erklæring. Den kan skjules, endres, serveres av en mellomtjener eller beholdes etter at en leverandør tilbakefører en løsning. Å skjule den reduserer avsløringen, men lapper ikke programvare. For å vurdere en PHP- eller programtilleggsrådgivning, sjekk den installerte pakken, oppsettet og leverandørveiledningen med verten eller administratoren. En generisk offentlig side kan ikke fastslå om en navngitt sårbarhet er tilstede eller rettet.
Bruk en målt endringsprosess
- Sjekk at svaret tilhører den tiltenkte siden, i stedet for en bot-utfordring eller feilskjerm.
- Se gjennom hver observasjon i forhold til sidens formål.
- Gjør én konfigurasjonsendring i staging og test navigasjon, skjemaer, medier og eksterne integrasjoner.
- Gå gjennom CSP-rapporter der det er hensiktsmessig før du håndhever en strengere policy.
- Registrer endringen og test på nytt. Hold oppdateringer, sikkerhetskopier og kontosikkerhet som separate ansvarsområder.
En ren offentlig respons kan eksistere side om side med private programfeil; en manglende valgfri header er ikke automatisk en sårbarhet, men en manglende valgfri header er ikke automatisk en sårbarhet.
Tekniske referanser: MDNs CSP-veiledning, HSTS, nosniff og rammekontroller.