Eksik Güvenlik Başlıkları (ARCH4141)

Anahtar java.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

CSP, X-Content-Type-Options ve HSTS gibi temel güvenlik başlıklarının atlanması, tarayıcı tabanlı savunmaları devre dışı bırakır ve XSS, MIME-sniffing ve protokol düşürme saldırılarına alan açar. Bu başlıkları her yanıtta ayarlayın.

Hatalı

@Bean
SecurityFilterChain chain(HttpSecurity http) throws Exception {
    http.headers(headers -> headers.disable()); // güvenlik başlıkları yok
    return http.build();
}

Doğru

@Bean
SecurityFilterChain chain(HttpSecurity http) throws Exception {
    http.headers(headers -> headers
        .contentSecurityPolicy(csp -> csp.policyDirectives("default-src 'self'"))
        .httpStrictTransportSecurity(hsts -> hsts.includeSubDomains(true)));
    return http.build();
}

Düzeltme

CSP, X-Content-Type-Options ve HSTS gibi güvenlik başlıklarını yanıtlara ekleyin.