Herhangi bir yarı-düzgün WordPress güvenlik kontrol listesine baktığınızda, web sitenizi güvende tutmak için yapabileceğiniz uzun şeyler, internetin güvenli bir yer olmadığı izlenimini verir. Yine de, web sitenizi güvende tutmak için tüm bu çeşitli güvenlik eklentilerine ve uygulamalarına sahip olmak ne kadar harika? Kimlik hırsızlığı koruma hizmetlerine, online güvenlik tarayıcılarına veya web sitenizi DDoS saldırılarından korumanın ve kötü amaçlı reklamcılıktan kaçınmanın yollarına ihtiyacınız varsa, bu konuda yapabileceğiniz bir şey var. Web sitenizi daha da güvenli hale getirmenin yollarını arıyorsanız, WordPress web sitenizin kullanabileceği HTTP güvenlik başlıkları da vardır.
Bununla birlikte web sitesi güvenliği söz konusu olduğunda, HTTP başlıklarını kullanmak web sitenizi güvende tutmanın en iyi bilinen yöntemi olmayabilir. Endişelenmeyin, size HTTP güvenlik başlıkları ve web sitenizin bunları nasıl kullanabileceği hakkında en yararlı bilgileri sağlayacağız. Bu yüzden etrafta kalın ve şunları okuyun:
-
HTTP Güvenlik Başlığı Nedir?
-
WordPress için En İyi HTTP Güvenlik Başlıkları Nelerdir?
-
WordPress’e HTTP Güvenlik Başlıkları Nasıl Eklenir?
HTTP Güvenlik Başlığı Nedir?
HTTP güvenlik başlıklarının ne olduğunu ve WordPress web sitenizin bunlara neden ihtiyaç duyabileceğini öğrenmek için, öncelikle HTTP başlıklarının ne olduğunu ve ne işe yaradığını ele almamız gerekir. Birisi web sitenize bir tarayıcı aracılığıyla erişmeye çalıştığında, tarayıcı sunucunuza bir istek göndererek örneğin bir sayfayı veya gönderiyi görüntülemek için gereken bilgileri sunmasını ister.
Bu istek gönderildiğinde, iki bileşen içerir – ne istendiğini ayrıntılarıyla anlatan bir istek satırı ve HTTP başlıkları. İstek üstbilgileri, örneğin, içeriğin tercih edilen sürümü hakkında talimat verebilir, tercih edilen bağlantı türü hakkında bilgi sağlayabilir, önbelleğe alma ilkelerinin sinyalini verebilir ve daha pek çok şey yapabilir.
İsteği alan bir sunucu, bir durum satırıyla başlayan, ardından yanıt başlıkları ve son olarak yanıtın içeriği olan sayfa hakkındaki bilgileri içeren yanıtı gönderir. Bu durumda, HTTP başlıkları, örneğin en son ne zaman değiştirildiği de dahil olmak üzere içerik hakkında bilgi sağlayabilir. HTTP üstbilgileri, içerik önbelleğe alma politikası hakkında da bilgi verebilir – bu, sona eren üstbilgilerin yaptığı şeydir.
Artık HTTP üstbilgilerinin bir tarayıcı ile bir sunucu arasındaki bilgi alışverişi sırasında daha fazla bilgi verdiğini görebilirsiniz. Bilgiler, kimlik doğrulama amaçlarına, önbelleğe alma, depolama, bağlantı yönetimi, çerezlerin ayarlanması ve güvenlik dahil daha birçok şeye yardımcı olmak için kullanılabilir.
Bu yüzden HTTP güvenlik başlıkları, web sitenizi her türlü online saldırıya karşı güçlendirmeye ve hem sizin hem de web sitenizi ziyaret eden kişiler için daha güvenli hale getirmeye yardımcı olan HTTP başlıklarıdır. Bununla birlikte ne olduklarından ve ne yaptıklarından hala emin değilseniz, WordPress web siteniz için kullanmanız gereken belirli güvenlik başlıklarına daldığımızda işler daha net olabilir.
WordPress için En İyi HTTP Güvenlik Başlıkları Nelerdir?
HTTP güvenlik başlıklarının ne işe yaradığını anlamanın en iyi yolu, bir avuç tanesini gözden geçirmek ve ne için kullanıldıklarını açıklamaktır. Bu amaçla, web sitenize uygulayabileceğiniz WordPress için en kullanışlı HTTP güvenlik başlıklarından bazılarının bir listesini oluşturduk.
HTTP Katı Aktarım Güvenliği – HSTS
Genellikle HSTS olarak anılan HTTP Strict Transport Security, web sitenize şifreli bir bağlantıdan (HTTPS kullanılarak yapılan bir bağlantı) şifrelenmemiş ve daha az güvenli bir bağlantıya geçmeyi önlemek için kullanabileceğiniz bir HTTP güvenlik başlığıdır.
Şifrelenmemiş bir bağlantı, çeşitli ortadaki adam saldırılarına karşı savunmasızdır ve bir ziyaretçinin eski bir bağlantıya tıklamaktan tarayıcıların şifreli sürümde daha az güvenli sürüme geçmesine kadar daha az güvenli bağlantı türünü kullanmasının çeşitli nedenleri vardır. yazılmamış.
Web sitenizin bir HSTS güvenlik başlığı varsa, web sitenizdeki adreslerin yalnızca şifreli bağlantı kullanılarak açılması gerektiği bilgisiyle web sitenizden gelen ilk talebe yanıt verir. Özünde, HSTS güvenli bir bağlantıyı zorlar.
İçerik Güvenliği Politikası – CSP
İçerik Güvenliği Politikası, web sitenizin siteler arası komut dosyası çalıştırma, veri enjeksiyonu ve tıklama saldırılarına karşı kullanabileceği ek bir koruma katmanıdır. Bunu yapmak için, CSP HTTP güvenlik başlığı, belirli bir sayfayı görüntülemek için hangi kaynakların yüklenebileceğini belirtir.
Uygulamada bu, bir kullanıcı aracısının (örneğin bir tarayıcı) hangi konumlardan belirli kaynakları indirebileceğini veya hangi konuma gidebileceklerini veya hedef olarak kullanabileceklerini belirten bir dizi yönerge içeren bir politika oluşturmanız gerektiği anlamına gelir. form gönderimi için, hatta bir belgeye gömülebilen eklentileri kısıtlayın.
Tahmin edebileceğiniz gibi, bir İçerik Güvenliği Politikası oluşturmak zorlu bir görev olabilir. Web geliştiricileri, politikaları fiilen uygulamadan yalnızca olası etkilerini izleyen Content Security Polity Report Only başlığını da kullanabilir.
Kaynaklar Arası Kaynak Politikası – CORP
Web sitenizdeki kaynakların diğer sayfalara yüklenmesini önlemek istiyorsanız (ki bunu bilgisayar korsanlarının siteler arası sızıntılardan faydalanmasını engellemek istiyorsanız yapabilirsiniz), o zaman bir Cross-Origin Resource Policy başlığına veya CORP’a sahip olmak gelir. Şiddetle tavsiye edilir.
CORP ile web sitenizdeki her kaynak için yükleme kuralları belirleyebilirsiniz. Bu başlığı kullanarak ayarlayabileceğiniz üç tür kural vardır:
-
Kaynağın yalnızca aynı kökenli sayfalar tarafından yüklenmesine izin veren aynı kaynak.
-
Kaynağın tek bir sitenin tüm alt alanlarına yüklenmesine izin veren aynı site.
-
Kaynağın diğer sitelere yüklenmesini sağlayan siteler arası.
Bununla birlikte CORP’nin bu kaynaklara erişimi yalnızca bu kaynaklara giderek engellemediğini unutmayın.
Kaynaklar Arası Açıcı Politikası – COOP
Web sitenizin siteler arası sızıntıların hedefi olma şansını azaltmanın bir başka yolu da, aynı kaynaklı belgelerin çapraz kaynaklı belgelerden farklı bir göz atma bağlamında yüklenmesini sağlamaktır. Bu durum Kaynaklar Arası Açıcı Politikası, COOP başlığının size yardımcı olabileceği bir şeydir.
COOP’un üç farklı direktifi vardır:
-
Unsafe-none, bu grup diğer iki yönergeden herhangi birine sahip olmadığı sürece, belgenin mevcut bir tarama bağlam grubuna eklenmesine izin veren varsayılan yönergedir.
-
Same-origin-allow-popups, web siteniz pencereler arasında veri aktaran açılır pencereler kullanıyorsa ayarlayabileceğiniz bir yönergedir.
-
Same-origin, aynı-orijinli belgeleri çapraz-orijinli belgeler tarafından erişilemeyen bir tarama bağlamına yerleştiren en katı direktiftir.
Kaynaklar Arası Yerleştirme Politikası – COEP
Belgelerinizin yükleyebileceği siteler arası kaynakları yalnızca ona kesin izin verenlerle sınırlamak istediğinizde, Kaynaklar Arası Yerleştirme Politikası – COEP’i kullanırsınız. Bu başlığın yönergesini “require-corp” olarak ayarladığınızda, yalnızca CORP kullanılmasına izin verilen kaynaklar bir belgeye yüklenecektir. Alternatif olarak kaynak CORS protokolünü destekliyorsa, açılmaya uygunluğuna karar vermek için kullanılabilir.
X-İçerik Türü Seçenekleri
Content-Type üstbilgisi, bir kaynağın ortam türü hakkındaki bilgileri gösteren bir HTTP üstbilgisidir. Bu bilgi göz ardı edildiğinde, kaynak amaçlanmayan bir şekilde, örneğin siteler arası komut dosyası çalıştırma saldırısı biçimindeki komut dosyalarını yürütmek için kullanılabilir.
X-Content Type Options güvenlik başlığı, tarayıcıya Content-Type başlığında ayarlanan MIME tipini yoksaymaması gerektiğini bildirmek için kullanılır. Bu güvenlik başlığı, doğru Content-Type başlıkları ile birlikte tüm kaynaklarınızda kullanmanız gereken başka bir başlıktır.
X Çerçevesi Seçenekleri
Clickjacking, bir kullanıcının kendi sayfasında, genellikle sizin tuzak sayfanızın arkasında gizlenmiş olan bir şeye tıklamasını sağlamak için, birisinin bir tuzak sayfası (haydi web sitenizden birinci yol) kullanabileceği bir saldırı türüdür. Saldırganların bunu yapabilmesinin yollarından biri, sayfalarınızı ,