ترويسات الأمان تعليمات قصيرة يرسلها خادمك مع كل صفحة. تطلب من المتصفحات منع سلوكيات خطرة معينة. لا تكلف شيئاً وتستغرق دقائق لإضافتها. ومع ذلك ما زالت مواقع كثيرة تفتقدها، وهذا يسهّل بعض الهجمات.
أهم ترويسات الأمان
- Strict-Transport-Security تجبر المتصفحات على استخدام HTTPS.
- Content-Security-Policy تحدد المصادر المسموح تحميل السكربتات منها.
- X-Frame-Options تمنع المواقع الأخرى من تضمين صفحاتك.
- X-Content-Type-Options تمنع المتصفح من تخمين نوع الملف.
- Referrer-Policy تتحكم في بيانات العنوان التي تغادر موقعك.
- Permissions-Policy توقف ميزات مثل الكاميرا عند عدم الحاجة.
ابدأ بالأسهل
يمكن إضافة معظمها دون تغيير موقعك. أضفها في إعدادات الخادم أو عبر إضافة أو من خلال شبكة توصيل المحتوى. ابدأ بـ HSTS وحماية التضمين وحماية نوع المحتوى. واختبر موقعك بعد كل تغيير.
سياسة أمان المحتوى تحتاج عناية
هذه الترويسة قوية لكنها قد تعطل بعض الميزات. ابدأ بوضع التقارير فقط لترى ما الذي سيُحظر. أضف المصادر الموثوقة خطوة بخطوة. وانتقل إلى التطبيق الفعلي فقط عندما تصبح التقارير نظيفة.
افحص نتيجتك
تفحص أداة فحص الموقع المجانية الترويسات التي يرسلها موقعك. وتعرض الناقص منها وتشرح أهميته. أعد الفحص بعد التعديلات لتتأكد من الإصلاح.
جزء من خطة أكبر
لا تغني الترويسات عن التحديثات وكلمات المرور القوية والنسخ الاحتياطية. إنها طبقة واحدة بين عدة طبقات. اجمعها مع شهادة صالحة وفحص منتظم. وتساعدك خدمة حماية المواقع لدينا على إدارة هذه الطبقات معاً.
مكسب سريع
إذا كنت ستفعل شيئاً واحداً هذا الأسبوع فأضف HSTS وحماية التضمين. يستغرق ذلك دقائق. فيصبح زوارك أكثر حماية وتُظهر أدوات الفحص نتيجة أفضل. وخطوات صغيرة كهذه تجعل الهجمات أصعب وتحافظ على الثقة.
مثال على الإعداد
في خوادم LiteSpeed وApache تُضاف الترويسات في ملف htaccess. وفي Nginx تُضاف داخل إعدادات الخادم. وكثير من إضافات الأمان في ووردبريس تضيفها نيابة عنك. اختر طريقة واحدة فقط حتى لا تُرسل الترويسات مرتين بقيم مختلفة.
وتذكّر أن تراجع الترويسات بعد أي تغيير كبير في الموقع أو إضافة خدمة خارجية جديدة.
