Eksik güvenlik başlıkları (ARCH5141)

Anahtar go.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

http.ListenAndServe (ya da r.Run, e.Start, app.Listen) çağıran dosya, başlık ara katmanının (unrolled/secure, fiber helmet, echo middleware.Secure) kurulduğu yerdir. Bunu yapmıyor ve Strict-Transport-Security, Content-Security-Policy ya da X-Content-Type-Options başlığını elle de ayarlamıyorsa uygulama bunlar olmadan yanıt verir. Bilgi düzeyinde raporlanır: ters vekil ekliyor olabilir.

Hatalı

func main() {
  http.HandleFunc("/", index)
  http.ListenAndServe(":8080", nil)
}

Doğru

func main() {
  sec := secure.New(secure.Options{
    STSSeconds:            31536000,
    ContentTypeNosniff:    true,
    ContentSecurityPolicy: "default-src 'self'",
  })
  http.HandleFunc("/", index)
  http.ListenAndServe(":8080", sec.Handler(http.DefaultServeMux))
}

Düzeltme

İşleyiciyi bir başlık ara katmanıyla sarın ya da her yanıta Strict-Transport-Security, Content-Security-Policy ve X-Content-Type-Options: nosniff ekleyin.