Eksik güvenlik başlıkları (ARCH3141)

Anahtar typescript.security.missing-security-headers · Önem info · Kategori security · CWE CWE-693

CSP, X-Content-Type-Options ve HSTS gibi anahtar güvenlik başlıklarını atlamak, uygulamayı XSS, MIME-sniffing ve protokol düşürme saldırılarına açar. Bu başlıkları varsayılan olarak ekleyin.

Hatalı

import express from "express";

const app = express();
app.get("/", (req, res) => res.send(renderPage()));

Doğru

import express from "express";
import helmet from "helmet";

const app = express();
app.use(helmet());
app.get("/", (req, res) => res.send(renderPage()));

Düzeltme

helmet gibi bir middleware kullanarak CSP, HSTS ve X-Content-Type-Options başlıklarını tüm HTML yanıtlarına ekleyin.