HTTP安全标头目的是为WordPress网站添加额外的安全层。它们可以帮助阻止常见的恶意行为影响网站安全及性能。
在本教程中,我们将详细介绍如何在WordPress中添加HTTP安全标头。
什么是HTTP安全标头?
HTTP安全标头是一种安全措施,在影响您的网站之前阻止一些常见的安全威胁。
基本上,当用户访问您的网站时,Web服务器会将HTTP标头响应发送回客户端浏览器。该响应告诉浏览器有关错误代码,缓存控制和其他状态的信息。
正常的标头响应会发出状态为HTTP 200的消息。此后,用户的浏览器就会加载您的网站内容。但是,如果您的网站出现问题,则您的网络服务器可能会发送其他HTTP标头。
例如,它可能会发送503服务器不可用错误或400错误代码。
HTTP安全标头是这些标头的子集,用于防止网站遭受常见的威胁,例如点击劫持,跨站点脚本,暴力攻击等。
下面让我们浏览一下常见HTTP安全标头以及它们如何保护您的网站。
HTTP严格传输安全协议(HSTS)
HTTP严格传输安全(HSTS)标头告诉Web浏览器您的网站使用HTTPS,并且不应使用HTTP这样的不安全协议进行加载。
配置HSTS(HTTP严格传输安全协议)响应标头,以强制浏览器始终在您的站点上使用HTTPS而不是HTTP。 当浏览器访问您的站点并接收
Strict-Transport-Security
响应标头时,它告诉浏览器将对所有将来http://
站点的URL请求转换为https://
请求。标头可以包括以下选项:1)说明应遵循多少秒的HSTS策略 2)
includeSubDomains
说明将策略应用于所有子域。例如,Strict-Transport-Security: max-age=31536000; includeSubDomains
告诉浏览器一年内所有子域都使用HTTPS。Warning: 从max-age
较小值开始直到您确保可以管理站点的HTTPS配置为止。毕竟如果在通过HTTPS加载页面时遇到问题,在没有解决问题之前用户将无法访问您的网站。
如果您已将WordPress网站从HTTP移至HTTPs,则此安全标头可强制浏览器通过HTTPS加载网站。
X-XSS保护
X-XSS Protection标头允许您阻止跨站点脚本加载到WordPress网站上。
通过启用浏览器XSS安全措施来防御XSS攻击。 XSS攻击者向正在发送给用户的页面中注入代码。某些浏览器内置XSS保护,可以通过添加
X-XSS-Protection: 1; mode=block
到每个页面的响应标头中来启用。如果浏览器检测到XSS攻击,此设置将停止呈现页面。请注意,这仅应被视为针对XSS攻击的不得已的防御措施。您的网站应经过全面审查,并在构建时应考虑XSS防护措施,以防止注入攻击。
原文地址:https://www.wbolt.com/how-to-add-http-security-headers-in-wordpress.html