Eksik güvenlik başlıkları (ARCH2141)

Anahtar python.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

CSP, X-Content-Type-Options ve HSTS gibi temel güvenlik başlıklarını eklememek, tarayıcı tabanlı korumaları devre dışı bırakır ve XSS ile MIME karıştırma gibi saldırılara kapı açar.

Hatalı

@app.route("/")
def index():
    return render_template("index.html")

Doğru

@app.after_request
def set_security_headers(resp):
    resp.headers["Content-Security-Policy"] = "default-src 'self'"
    resp.headers["X-Content-Type-Options"] = "nosniff"
    resp.headers["Strict-Transport-Security"] = "max-age=31536000"
    return resp

Düzeltme

HTML yanıtlarına CSP, X-Content-Type-Options ve HSTS gibi güvenlik başlıklarını merkezi bir yerde ekleyin.