网站的不同安全措施（HTTP头等）

这是一个开放式问题，我对此表示歉意。但我认为这是有用的，我希望它不会被关闭。网站的不同安全措施（HTTP头等）

我正在处理一个处理高度敏感内容的网站，我正在尽可能使其尽可能安全。

刚才我碰到了X-Frame-Options HTTP-Header，我可以用它disallow the page to be shown inside a frame从而防止"clickjacking"攻击我的页面。

是否有一些参考文献可以提供我应该了解的所有安全措施的完整列表（例如，SSL（当然），HTTP头文件，如Strict-Transport-Security和X-Content-Security-Policy，客户端AES加密）。 ..）？

是否还有其他（可能较少人知道）的安全功能，您可能会考虑与我进行关联（例如，是否可以阻止插件，阻止bookmarklet，禁止Opera Mini等代理浏览器......）？

我希望这个问题的答案将一起导致一个有用的清单，以确保我（和其他人）不缺少任何主要的安全功能来保护内容。

来源

2013-03-08 Markus A.

这实在太开放了。至少你需要对你需要防范的威胁非常具体。但这个问题确实需要结束 - 这不是一个开放式的讨论网站，有人可能会发布一个被接受为解决方案的答案。 – Barmar 2013-03-08 23:05:59

从常见问题解答：如果你可以想象整本书能够回答你的问题，那么你的要求太高了。我认为你的问题符合对不恰当问题的描述。 – Barmar 2013-03-08 23:07:34

@Barmar谢谢Barmar ......正是我所希望的......这一切的关键是要了解我没有考虑过的威胁。你会如何改变它？ – 2013-03-08 23:07:40

以Open Web Application Security Project Top 10 vulnerabilities document开头。如果您可以采取适当的措施来避免那里描述的漏洞，那么您将比绝大多数站点更安全。之后，它可能是时候从安全专家那里获得帮助，做一些渗透测试，寻找解决更隐蔽的漏洞等。

来源

2013-03-08 23:23:38

+1太棒了！这正是我一直在寻找的东西！看起来我得到了这些点...... :) – 2013-03-08 23:25:30

对于HTTP Headers方面的问题，请看Secure HTTP Headers slideshare演示和Mozilla开发者网络Securing your site文档。

下面是一些具体的HTTP响应头

的Set-Cookie（Secure and HttpOnly attributes）
X-Frame-Options
X-XSS-Protection
X-Content-Type-Options
X-Content-Security-Policy或Content-Security-Policy
Strict-Transport-Security

请注意，不同的浏览器及其版本具有不同的支持级别，所以除了安全和安全的cookie之外，您的IE7用户可能看不到任何好处。

来源

2013-03-09 15:42:06

网站的不同安全措施（HTTP头等）

回答

相关问题