Os headers de segurança HTTP são configurações de servidor de uma linha que instruem os navegadores sobre como lidar com o conteúdo do seu site. Eles previnem uma ampla gama de ataques — do clickjacking ao cross-site scripting — sem exigir mudanças no código da sua aplicação.
Os seis headers críticos
1. Content-Security-Policy (CSP)
O CSP é o header mais poderoso para prevenir ataques XSS. Ele define uma lista de permissões de fontes das quais scripts, estilos e outros recursos podem ser carregados.
Comece com uma política de apenas relatório para auditar violações antes de aplicá-las:
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self' https://cdn.example.com; report-uri /csp-violations2. Strict-Transport-Security (HSTS)
O HSTS força os navegadores a usar HTTPS para todas as solicitações futuras ao seu domínio, mesmo se o usuário digitar http://.
Strict-Transport-Security: max-age=31536000; includeSubDomains; preload3. X-Frame-Options / frame-ancestors
Previne que suas páginas sejam incorporadas em iframes em outros sites (clickjacking). A diretiva CSP moderna frame-ancestors substitui o header antigo X-Frame-Options.
4. X-Content-Type-Options
Para o MIME-sniffing do navegador. Uma linha, proteção máxima:
X-Content-Type-Options: nosniff5. Referrer-Policy
Controla quanta informação de referrer é incluída em solicitações de saída. strict-origin-when-cross-origin é o padrão recomendado.
6. Permissions-Policy
Restringe o acesso a APIs do navegador (câmera, microfone, geolocalização). Mesmo que você não use essas APIs, restringi-las impede que scripts de terceiros as abusem.
Como o AISeen verifica seus headers
O AISeen Security Score audita os seis headers críticos mais a configuração HTTPS, flags de cookies e vazamentos de informação (divulgação da versão do servidor nos headers de resposta).