БЕЗОПАСНОСТЬ
Безопасность.
Заголовки, секреты и доступ. Десять практических инструкций.
Отключение версии Nginx в ответахУстановите директиву в http или нужном server и примените проверенную конфигурацию.
Защита от встраивания сайтаДобавьте директиву CSP к HTML-ответам, если сайту не нужно встраивание.
Типы контента без угадыванияОтдавайте корректный Content-Type вместе с nosniff. Проверьте отдельно сценарии и стили.
Сужение политики RefererПередавайте полный путь своим страницам, а сторонним HTTPS-сайтам только origin.
Инвентаризация публичных портовСопоставьте публичные слушатели с сервисами. Сверьте правила сети и локального файрвола.
Выдача отдельных токеновВыдайте отдельный ключ CI с минимальными правами и ограничьте время жизни.
Проверка утечек в GitПроверьте историю и включите автоматический поиск секретов. При находке перевыпустите затронутые ключи.
Настройка безопасных cookieОграничьте отправку cookie HTTPS, доступ из JavaScript и типы межсайтовых запросов.
Ограничение методов для статического сайтаПрименяйте ограничение методов только в статическом location. Nginx включает HEAD вместе с GET.
Контроль состава релизаПроверьте содержимое каталога публикации и исключите секреты, временные файлы и служебные конфиги.