Eksik Güvenlik Başlıkları (ARCH6141)

Anahtar ruby.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

CSP, X-Content-Type-Options ve HSTS gibi güvenlik başlıklarının eksik olması, tarayıcı tabanlı korumaları zayıflatır. Bu başlıkları tüm HTML yanıtlarında ayarlayın.

Hatalı

class ApplicationController < ActionController::Base
  # güvenlik başlıkları ayarlanmamış
end

Doğru

class ApplicationController < ActionController::Base
  before_action :set_security_headers

  private

  def set_security_headers
    response.set_header("X-Content-Type-Options", "nosniff")
    response.set_header("Content-Security-Policy", "default-src 'self'")
    response.set_header("Strict-Transport-Security", "max-age=31536000")
  end
end

Düzeltme

CSP, X-Content-Type-Options: nosniff ve HSTS başlıklarını her yanıtta ayarlayın.