Security headers для affiliate-сайта: 6 заголовков, которые стоит поставить сразу

Security headers для affiliate-сайта: 6 заголовков, которые стоит поставить сразу

На лендингах и контентных сайтах часто забывают про заголовки безопасности, а потом ловят XSS через чужие скрипты, утечки referrer и лишние разрешения браузера.

— Content-Security-Policy: ограничьте источники для JS, CSS, изображений и форм. Начинайте в режиме report-only, потом ужесточайте.
— Referrer-Policy: для арбитража обычно хватает strict-origin-when-cross-origin, чтобы не светить полный URL.
— X-Content-Type-Options: nosniff: убирает MIME-sniffing и снижает риск подмены контента.
— Permissions-Policy: отключите камеру, микрофон, geolocation и всё, что лендингу не нужно.
— X-Frame-Options: DENY или CSP frame-ancestors: режет clickjacking и встраивание в чужие фреймы.
— Strict-Transport-Security: включайте только после нормального HTTPS и редиректа с HTTP на HTTPS.

Проверяйте не только наличие заголовков, но и конфликты: CSP может сломать пиксели, чат-виджеты и трекеры, если не перечислить их домены. Для affiliate-сайта лучше сначала собрать список внешних скриптов, потом написать политику, а не наоборот.

Минимум, который должен быть на проде: CSP, Referrer-Policy, nosniff, HSTS и защита от фреймов. Это не делает сайт неуязвимым, но резко сокращает поверхность атаки и убирает типовые косяки интеграций.