Bezpečnostní hlavičky: CSP, HSTS a spol. krok za krokem

Nejrychleji přes bezplatný sken na této stránce: oblast „Bezpečnostní hlavičky“ vypíše, co máte nastavené, co chybí a jestli web vůbec přesměrovává na HTTPS. V terminálu zjistíte totéž jedním příkazem:

curl -sI https://vase-firma.cz

Zkuste to hned na několika adresách: kromě hlavní domény i variantu s www, API subdoménu a stránku za přihlášením. Hlavičky obsluhuje ten virtuální host, který požadavek vyřizuje, takže se mezi nimi běžně liší. Nejhůř na tom bývá to, na co si nikdo nevzpomene.

Dokud web odpovídá i na http://, nemá zbytek smysl řešit. Útočník na sdílené wi-fi nepotřebuje lámat šifrování, stačí mu ten jeden nezabezpečený požadavek na začátku. Přesměrování patří do samostatného bloku, který neumí nic jiného:

server {
    listen 80;
    server_name vase-firma.cz www.vase-firma.cz;
    return 301 https://$host$request_uri;
}

RewriteEngine On
RewriteCond %{HTTPS} off
RewriteRule ^(.*)$ https://%{HTTP_HOST}/$1 [R=301,L]

Tyhle čtyři hlavičky nasazujeme jako první, protože u drtivé většiny webů nic nerozbijí a přitom zavřou celé třídy útoků. Konfiguraci dejte na jedno místo pro celý web, ne k jednotlivým stránkám:

add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
  Header always set X-Frame-Options "SAMEORIGIN"
  Header always set Referrer-Policy "strict-origin-when-cross-origin"
  Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
</IfModule>

async headers() {
  return [
    {
      source: "/:path*",
      headers: [
        { key: "X-Content-Type-Options", value: "nosniff" },
        { key: "X-Frame-Options", value: "SAMEORIGIN" },
        { key: "Referrer-Policy", value: "strict-origin-when-cross-origin" },
        {
          key: "Permissions-Policy",
          value: "camera=(), microphone=(), geolocation=()",
        },
      ],
    },
  ];
}

Hodnotu SAMEORIGIN zvolte, pokud si vlastní stránky někde vkládáte do rámu sami. Když ne, je správně DENY. A pokud váš web legitimně vkládá do rámu partner (rezervační widget, kalkulačka u dodavatele), nesmí být ani jedno z toho: v takovém případě potřebujete frame-ancestors s jeho doménou, o kterém je řeč v kroku 5.

HSTS je jednosměrka, a proto se nasazuje po fázích. Jakmile si prohlížeč vaši doménu poznamená, bude s ní po celou dobu platnosti mluvit jen šifrovaně, a to i tehdy, když certifikát propadne. Návštěvník takovou chybu nemá jak „odklepnout“, prostě se na web nedostane — proto HSTS nasazujte až ve chvíli, kdy se vám certifikáty obnovují samy.

Fáze A, zkouška (pár hodin). Krátká platnost, ze které se dá vycouvat během oběda:

max-age=300

Fáze B, ostrý provoz (cílový stav). Rok a platnost i pro subdomény. Než tohle nasadíte, projděte seznam subdomén ze skenu a ověřte, že každá z nich umí HTTPS. Právě tady se láme staré intranet.vase-firma.cz, na které nikdo nemyslel:

max-age=31536000; includeSubDomains

Fáze C, preload (volitelná, a pořádně si ji rozmyslete). Přidáním preload a zápisem do seznamu se doména dostane napevno do samotných prohlížečů, takže jsou chráněné i první návštěvy. Zápis je otázka minut, vyřazení trvá měsíce a projeví se až s další verzí prohlížeče. Pro běžný firemní web to není nutnost, pro banku nebo e-shop s přihlášením ano.

Content-Security-Policy je z celé šestice zdaleka nejúčinnější a jako jediná umí web rozbít. Proto existuje režim, ve kterém prohlížeč nic nezakáže a jen hlásí, co by zakázal. Začněte vždycky tam: stejná hodnota, jiný název hlavičky.

default-src 'self';
script-src 'self';
style-src 'self' 'unsafe-inline';
img-src 'self' data: https:;
font-src 'self';
object-src 'none';
base-uri 'self';
form-action 'self';
frame-ancestors 'none';
upgrade-insecure-requests;
report-uri /api/csp-report;

Pak se týden dívejte, co chodí. Skoro jistě zjistíte, že na webu běží víc cizích domén, než jste čekali: analytika, písma, chat, mapy, platební brána, pixel z kampaně, kterou někdo pouštěl předloni. Každou, kterou opravdu chcete, dopište do příslušné direktivy. Co v hlášeních zbyde a nepoznáváte to, je samo o sobě zajímavý nález.

Až bude týden bez překvapení, přejmenujte hlavičku na Content-Security-Policy a politika začne platit.

Dvě věci, na kterých to obvykle uvázne. První je 'unsafe-inline' ve script-src. Přidat ho je svůdné, protože tím CSP okamžitě přestane vadit, jenže povolit vložený skript je přesně to, proti čemu má CSP chránit. U vlastní aplikace se to řeší jednorázovým kódem pro každý požadavek (nonce) nebo otiskem konkrétního skriptu (hash), u style-src je 'unsafe-inline' přijatelný kompromis, protože vložený styl škodí řádově míň.

Druhá je hotový systém s hromadou pluginů, kde inline skripty vyrábí kdekdo. Tam bývá realistické začít u obrázků, rámů a formulářů, tedy u direktiv img-src, frame-ancestors a form-action, nechat script-src zatím v Report-Only a utahovat ho postupně. I neúplná CSP je víc než žádná.

Cookies se nenastavují ve webserveru, ale v aplikaci, která je vydává. Přihlašovací cookie má mít tři příznaky:

Set-Cookie: session=…; Secure; HttpOnly; SameSite=Lax; Path=/

Secure znamená, že se cookie nikdy nepošle nešifrovaně. HttpOnly zařídí, že ji nepřečte JavaScript, takže ji neukradne ani skript, který se na stránku vloudí. Cookie, kterou váš web čte v prohlížeči (souhlas s cookies, A/B test), HttpOnly mít nemůže a nevadí to, pokud v ní není přihlášení. SameSite=Lax je dobrá výchozí hodnota, None použijte jen tam, kde cookie skutečně musí fungovat uvnitř cizí stránky, a vždy současně se Secure.

A na závěr ověření, ze tří stran. Pusťte znovu příkaz z prvního kroku nebo si nechte doménu proskenovat. Otevřete si konzoli prohlížeče a projděte klíčové stránky, jestli nepřibyly hlášky o zablokovaném obsahu. A hlavně si proklikejte to, co vydělává: přidání do košíku, pokladnu, přihlášení, vyhledávání, formulář. CSP se skoro nikdy neprojeví na úvodní stránce, ale až na třetím kroku objednávky, kde dodavatel kdysi použil vložený skript.