最全 HTTP 安全响应头设置指南

销售“安全记分卡”的公司正在崛起，并已开始成为企业销售的一个因素。这些公司组合使用 HTTP 安全报头和 IP 信誉来进行评级。不过，在很大程度上，公司的得分取决于对外开放网站上设置的安全响应报头。本文介绍了常用的安全响应报头及对应的推荐安全值，并给出了示例。

销售“安全记分卡”的公司正在崛起，并已开始成为企业销售的一个因素。我从客户那里了解到，他们对从评级低的供应商那里的采购很不放心，至少有案例表明，他们依据最初的评级改变了采购决策。

我调查了这些评级公司是如何计算公司安全性得分的，结果发现他们组合使用了 HTTP 安全报头和 IP 信誉。

IP 信誉基于的是黑名单和垃圾邮件列表，再加上公共 IP 所有权数据。只要你的公司没有垃圾邮件，并且能够快速检测和阻止恶意软件感染，那么通常这些软件应该就是干净的。HTTP 安全报头使用的计算方式与Mozilla Observatory的工作方式类似。

因此，对于大多数公司来说，在很大程度上，他们的得分取决于对外开放的网站上设置的安全响应报头。

设置正确的响应报头可以快速实现（通常不需要进行大量测试），并能提高网站的安全性，现在还可以帮助我们赢得具有安全意识的客户。

我对这种测试方法的价值以及这些公司提出的过高的定价方案持怀疑态度。我不认为它与真正的产品安全性有那么大的关联。然而，这无疑增加了设置响应报头并维护其正确性的重要性，值得为此投入时间。

在本文中，我将介绍常用的评估响应报头，及每个报头的推荐安全值，并给出一个响应报头设置的示例。在本文的最后，还将给出常见的应用程序和 Web 服务器的设置示例。

重要的安全响应报头

Content-Security-Policy（CSP）

CSP 通过指定允许加载哪些资源的形式，来防止跨站脚本注入。在本文所列的安全响应报头中，正确地设置和维护 CSP，可能是最耗时的，也是最容易出现风险的。在开发 CSP 的过程中，要谨慎充分地测试它——以“合法”的方式阻塞站点使用的内容源会破坏站点的功能。

创建 CSP 初稿的一个很好的工具是Mozilla 实验室的 CSP 浏览器扩展。在浏览器中安装此扩展程序，首先充分地浏览要为其设置 CSP 的站点，然后在站点中使用生成的 CSP。理想情况下，还可以重构 JavaScript，使其没有残留的任何内联脚本，从而使我们可以删除“unsafe inline”指令设置。

CSP 的指令设置可能比较复杂，也很混乱，因此，如果你想更深入的了解 CSP，请访问其官方网站。

一个好的 CSP 开始可能是如下这样的（在真正的站点上使用时，可能需要进行大量的修改）。在包含该站点的每个部分中都添加域名。

复制代码

 

	# 默认情况下，仅允许访问当前站点的内容
	# 允许访问当前站点和 imgur.com 的图片资源
	# 不允许访问 Flash、Java 等对象
	# 仅允许访问当前站点的脚本
	# 仅允许访问当前站点的样式
	# 仅允许嵌入当前站点的内嵌
	# 将 <base> 标记中的 URL 限制在当前站点
	# 表单仅允许提交到当前站点
	Content-Security-Policy: default-src 'self'; img-src 'self' https://i.imgur.com; object-src 'none'; script-src 'self'; style-src 'self'; frame-ancestors 'self'; base-uri 'self'; form-action 'self';

Strict-Transport-Security（HSTS）

该响应报头告诉浏览器，只能通过 HTTPS 访问网站——如果网站启用过 HTTPS，它将会一直生效。如果使用子域名，还建议在任何使用过的子域名对此加以强制。

复制代码

 

Strict-Transport-Security: max-age=3600; includeSubDomains

X-Content-Type-Options

该响应报头确保浏览器遵守应用程序设置的 MIME 类型。这有助于防止某些类型的跨站脚本注入攻击。

它还能减少浏览器“猜测”某些内容不正确时的意外应用程序行为，例如，当开发人员将某个页面标记为“HTML”，但浏览器认为它更像 JavaScript，并试图将其渲染为 JavaScript 时。该响应报头能确保浏览器始终遵守服务端设置的