Configurações de segurança que o seu site envia aos navegadores

Toda vez que um navegador carrega a sua página, o seu site envia junto algumas instruções. Elas são invisíveis para os visitantes, mas os navegadores as seguem. Algumas delas tornam os ataques muito mais difíceis.

As configurações que importam

• Content Security Policy define de onde os scripts podem vir. Se um atacante conseguir encaixar um script na sua página, o navegador se recusa a executá-lo.
• Proteção contra frames impede que outros sites exibam as suas páginas dentro das deles, um truque usado para fazer as pessoas clicarem em botões que não veem.
• Proteção de tipo de conteúdo impede que o navegador adivinhe o que é um arquivo, o que poderia transformar uma imagem enviada em um script.
• Referrer policy controla quanto do endereço da sua página é compartilhado com outros sites quando alguém clica em um link.
• Flags de cookies mantêm os cookies de login fora do alcance de scripts e longe de conexões não criptografadas.

Por que costumam estar ausentes

Nenhuma delas vem ativada por padrão. Frameworks e hospedagens deixam isso por sua conta, e um site funciona bem sem elas, então ninguém percebe até que algo dê errado.

A maioria pode ser adicionada em um único lugar, no arquivo de configuração da sua hospedagem ou do seu framework. A Content Security Policy exige mais cuidado, porque uma política rígida pode bloquear scripts de que o seu site precisa, então normalmente é adicionada aos poucos.

Uma verificação lê as configurações que o seu site realmente envia e diz quais estão faltando ou são permissivas demais.