عشوائيات
رؤوس الأمان: ماذا يشتري كل واحد منها
تُنسخ رؤوس الأمان في العادة كتلة واحدة من مقال ما، فتعمل ولا يعرف أحد لماذا، وحين يكسر أحدها شيئا تُحذف الكتلة كلها.
ما يفعله كل واحد
- منع تخمين نوع المحتوى: يمنع المتصفح من تنفيذ ملف كأنه سكربت لمجرد أن محتواه يشبه سكربتا، ويغلق بذلك فئة كاملة من الهجمات عبر رفع الملفات.
- منع التضمين في إطار: يمنع موقعا آخر من وضع موقعك داخل إطار شفاف وخداع المستخدم ليضغط على ما لا يراه.
- سياسة المحيل: تتحكم في مقدار ما تكشفه عن مصدر الزائر للمواقع التي ينتقل إليها، والإعداد الافتراضي قد يسرب مسارات خاصة.
- سياسة الصلاحيات: توقف الكاميرا والميكروفون والموقع والدفع لكل ما لا يحتاجها. الموقع التعريفي لا يحتاج كاميرا، فلماذا يبقى الباب مفتوحا.
- النقل الآمن الإلزامي (HSTS): يجبر المتصفح على HTTPS دائما.
- سياسة أمان المحتوى (CSP): تحدد من أين يُسمح بتحميل الكود والأنماط والصور.
أيها يكسر موقعك
سياسة أمان المحتوى. هي أقوى هذه الرؤوس وأخطرها في الضبط.
الطريقة الصحيحة أن تبدأ بوضع الإبلاغ فقط: تُطبق السياسة نظريا من دون أن تمنع شيئا، وتبلغك بما كانت ستمنعه. اجمع البلاغات أسبوعا، وأصلح ما يجب إصلاحه، ثم فعّل المنع.
من يفعّل المنع من أول يوم يكسر الخطوط والتحليلات والنماذج عنده، فينتهي به الأمر إلى حذف الرأس كله بدل إصلاحه.
مصيدة HSTS
لا تجعل المدة سنة من أول إعداد. ابدأ بأسبوع. هذا الرأس يخبر المتصفح أن يرفض HTTP طوال المدة المعلنة، ولا يمكنك التراجع إذا اكتشفت أن نطاقا فرعيا لا يدعم HTTPS. الأسبوع يمنحك فرصة لاكتشاف الخطأ، أما السنة فتعني بقاء العطل سنة كاملة.