服务器安全响应头配置教程

HTTP安全响应头可以告诉浏览器如何处理HTTPS、页面嵌入、资源类型和隐私信息。它们不能修复程序漏洞，但可以降低点击劫持、类型嗅探和错误降级到HTTP等风险。

配置前应先确认网站及所有子域名的HTTPS状态。尤其是HSTS，一旦设置过长时间，证书或HTTPS配置故障可能导致用户无法访问网站。

一、常用安全响应头

可以优先配置以下响应头：

Strict-Transport-Security
X-Content-Type-Options
X-Frame-Options
Referrer-Policy
Permissions-Policy

主要作用如下：

二、Nginx配置示例

在HTTPS站点的server区域加入：

add_header Strict-Transport-Security "max-age=86400" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "SAMEORIGIN" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

检查并重新加载：

nginx -t
systemctl reload nginx

首次启用HSTS时，可以先使用较短的max-age测试。确认HTTPS长期稳定后，再逐步增加时间。

三、Apache配置示例

确认已经启用mod_headers，再在HTTPS虚拟主机中加入：

Header always set Strict-Transport-Security "max-age=86400"
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "SAMEORIGIN"
Header always set Referrer-Policy "strict-origin-when-cross-origin"
Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"

Debian或Ubuntu可检查模块：

a2enmod headers
apachectl configtest
systemctl reload apache2

四、谨慎使用HSTS子域名和预加载

下面的设置会影响全部子域名：

includeSubDomains

如果某个子域名尚未支持HTTPS，浏览器可能无法访问。因此，确认所有子域名都能稳定使用HTTPS前，不要添加该参数。

preload会涉及浏览器预加载列表，撤销并非立即生效。普通网站不应在测试阶段直接提交HSTS预加载。

五、点击劫持防护如何选择

以下配置允许同源页面嵌入：

X-Frame-Options: SAMEORIGIN

如果网站完全不需要被iframe嵌入，可以使用：

X-Frame-Options: DENY

需要允许指定外部平台嵌入时，应使用CSP中的frame-ancestors进行更精细控制，而不是依赖已经缺乏通用支持的ALLOW-FROM。

六、验证响应头

使用curl检查：

curl -I https://example.com

确认响应中包含配置的安全头。

还应测试：

• 登录页面
• 支付和表单页面
• 被iframe使用的页面
• 视频及第三方组件
• CDN缓存后的响应头
• HTTP跳转至HTTPS是否正常

如果网站使用CDN或反向代理，响应头可能由前置服务添加、覆盖或删除，需要检查最终公开响应。

常见问题

1、安全响应头能阻止网站被入侵吗？

不能。它们属于浏览器侧防护，仍需更新程序、限制权限、修复漏洞并配置服务器安全策略。

2、配置X-Frame-Options后页面无法嵌入怎么办？

确认网站是否确实需要被iframe加载。需要跨域嵌入时，应通过CSP的frame-ancestors精确允许指定来源。

3、HSTS配置错误如何撤销？

服务器可以发送max-age=0请求浏览器删除策略，但已离线缓存或预加载的规则不会立即消失，因此启用前必须先测试HTTPS。

广告合作

QQ群号：4114653

点赞 (0)

温馨提示：

1. 本网站发布的内容(图片、视频和文字)以原创、转载和分享网络内容为主，如果涉及侵权请尽快告知，我们将会在第一时间删除。邮箱：2942802716#qq.com（#改为@）。
2. 本站原创内容未经允许不得转载，转载请注明出处“站长百科”和原文地址。

服务器

上一篇： Linux如何正确设置网站目录所有者与读写权限 下一篇： 2016中国（合肥）互联网大会将在合肥召开