Eksik güvenlik başlıkları (ARCH7141)

Anahtar php.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

İki biçim, ikisi de dosya bazlı: genel $middleware yığınında başlık ara katmanı adı geçmeyen bir çekirdek (Kernel extends HttpKernel) ve Content-Type: text/html gönderip hiç X-Content-Type-Options, Content-Security-Policy ya da Strict-Transport-Security göndermeyen bir betik. Bilgi düzeyinde raporlanır: ters vekil ekliyor olabilir.

Hatalı

class Kernel extends HttpKernel
{
    protected $middleware = [
        \App\Http\Middleware\TrustProxies::class,
        \Illuminate\Http\Middleware\HandleCors::class,
    ];
}

Doğru

class Kernel extends HttpKernel
{
    protected $middleware = [
        \App\Http\Middleware\TrustProxies::class,
        \Illuminate\Http\Middleware\HandleCors::class,
        \App\Http\Middleware\SecurityHeaders::class,
    ];
}

Düzeltme

Her yanıta Strict-Transport-Security, Content-Security-Policy ve X-Content-Type-Options: nosniff ekleyen bir ara katman kaydedin; düz PHP’de gövdeden önce header() ile gönderin.