Security Headers

انسین می‌تواند response security headerها را به traffic HTTPS سایت شما اضافه کند، پیش‌فرض خاموش و به‌صورت per domain — جدا از headerهای خودکار Nsn-* که همیشه روشن‌اند.

کجا تنظیم می‌شود

1. dashboard انسین را باز کنید و domain خودتان را انتخاب کنید.
2. به Security → Security Headers بروید و هرچه می‌خواهید را toggle کنید.
3. HSTS جدا است: Security → HSTS (پایین‌تر).

تغییرات ظرف چند ثانیه اعمال می‌شود. هر کدام را هر وقت خواستید دوباره خاموش کنید.

یادداشت

security headerها فقط روی responseهای proxied و HTTPS اعمال می‌شوند. recordهای DNS-only و requestهای ساده http:// هرگز تحت تأثیر قرار نمی‌گیرند.

Headerهای موجود

Toggle	مجموعه Header	چه کاری می‌کند
No MIME sniffing	X-Content-Type-Options: nosniff	با اینکه مرورگرها را وادار می‌کند به Content-Type دقیق origin شما اعتماد کنند نه اینکه حدس بزنند، حملات content-type–confusion را مسدود می‌کند.
Referrer policy	Referrer-Policy: strict-origin-when-cross-origin	referrer فرستاده‌شده به سایت‌های دیگر را فقط به domain شما محدود می‌کند. با پیش‌فرض مرورگرهای مدرن مطابق است.
Strip fingerprint headers	حذف X-Powered-By، X-AspNet-Version، X-AspNetMvc-Version، X-Generator، X-Drupal-Cache، X-Runtime	headerهایی که stack و نسخه backend شما را لو می‌دهند حذف می‌کند. فقط اطلاعاتی است — برای عملاً همه سایت‌ها امن است.

origin شما همیشه برنده است: انسین nosniff یا Referrer-Policy را فقط وقتی اضافه می‌کند که origin شما از قبل یکی نفرستاده باشد. فقط HTTPS. toggleها مستقل از هم‌اند.

احتیاط

No MIME sniffing تنها toggle‌ای است که می‌تواند یک سایت با تنظیم غلط را خراب کند: اگر origin شما assetها را با Content-Type غلط serve می‌کند (مثلاً JavaScript یا CSS به‌صورت text/plain)، یک مرورگر با nosniff از بارگذاری آن‌ها امتناع می‌کند. فقط وقتی آن را فعال کنید که origin شما content typeهای درست بفرستد. دو toggle دیگر برای عملاً همه سایت‌ها امن‌اند.

headerها را یکی‌یکی فعال کنید و قبل از بعدی یک تب تازه را چک کنید.

انسین یک Content-Security-Policy، CORS، یا framing policy تنظیم نمی‌کند — فقط app شما می‌تواند این تصمیم‌ها را بگیرد. یکی را روی origin خودتان تنظیم کنید تا انسین آن را عبور دهد، یا آن را با یک header rule در edge بنویسید.

HSTS (HTTPS-only enforcement)

Strict-Transport-Security به مرورگر می‌گوید domain شما را فقط روی HTTPS درخواست کند — بعد از یک بازدید، دیگر هیچ HTTP ساده‌ای نمی‌فرستد. انسین از قبل HTTP را در edge، همیشه، برای هر record proxied به HTTPS redirect می‌کند؛ HSTS نسخه قوی‌تر و سمت-مرورگر آن است.

خطر

HSTS را نمی‌شود کاملاً برگرداند. مرورگری که این header را دیده، حتی بعد از خاموش کردن HSTS، تا مدت انتخاب‌شده از پذیرفتن HTTP ساده امتناع می‌کند — خاموش کردن فقط از pin شدن بازدیدکننده‌های جدید جلوگیری می‌کند.

فقط وقتی آن را فعال کنید که همه چیز روی domain — هر صفحه، تصویر، script، دانلود، مسیر API — روی HTTPS کار کند.

نردبان مدت زمان

پنل شش مدت زمان پیشنهاد می‌دهد و اجازه می‌دهد یک پله در هر save بالا بروید:

پله	max-age	هزینه یک اشتباه
5 دقیقه	300	پنج دقیقه. اینجا نقطه شروع هر domain است.
1 ساعت	3600	یک ساعت.
1 روز	86400	یک روز.
1 هفته	604800	یک هفته.
30 روز	2592000	یک ماه.
1 سال	31536000	یک سال — همان مقداری که preload list می‌خواهد.

به هر پله ترافیک واقعی بدهید قبل از بعدی. کم کردن مدت زمان همیشه مجاز است و اولین راه‌حل است اگر چیزی خراب شد — اما فقط به بازدیدکننده‌های برگشتی کمک می‌کند.

سایر تنظیمات HSTS

• Include subdomains (includeSubDomains): rule را به همه subdomainها گسترش می‌دهد، از جمله آینده و فراموش‌شده‌ها. هر کدام که روی HTTPS نباشد، برای بازدیدکننده‌هایی که header را دیده‌اند غیرقابل‌دسترس می‌شود — همه را اول چک کنید.

• Preload (preload): پیش‌نیاز ثبت domain شما در HSTS preload list، که داخل مرورگرها حمل می‌شود و از همان اولین request بازدیدکننده HTTPS را اجبار می‌کند. نیازمند روشن بودن HSTS، شامل شدن subdomainها، مدت یک‌ساله، و تایپ کردن اسم domain برای تأیید است. تنظیم این directive فقط قدم اول است — خودتان در hstspreload.org ثبت کنید تا preload شوید.

  خطر

  Preload شدن عملاً دائمی است. خارج شدن از این فهرست یعنی از hstspreload.org درخواست حذف بدهید، بعد ماه‌ها صبر کنید تا مرورگرها به‌روز شوند. ترک کردن انسین هم این را برنمی‌گرداند.

• انسین چطور آن را می‌فرستد: مقدار HSTS هر Strict-Transport-Security که origin شما می‌فرستد را جایگزین می‌کند — مرورگر فقط اولی را می‌خواند، و اگر origin بی‌سروصدا یک سال بفرستد نردبان شما را خنثی می‌کند. HSTS را خاموش بگذارید و header خود origin شما دست‌نخورده عبور می‌کند.

Minimum TLS version

زیر SSL/TLS می‌توانید قدیمی‌ترین نسخه TLS که بازدیدکننده‌ها می‌توانند با آن وصل شوند را تنظیم کنید:

تنظیم	چه کسی می‌تواند وصل شود
TLS 1.2 (پیش‌فرض)	TLS 1.2 و TLS 1.3. هر چیزی که الان استفاده می‌شود.
فقط TLS 1.3	فقط TLS 1.3. گوشی‌های Android قدیمی، دستگاه‌های Windows 7، برخی proxyهای شرکتی و clientهای API قدیمی اصلاً نمی‌توانند وصل شوند.

هیچ چیز پایین‌تر از TLS 1.2 روی هیچ domain انسین پذیرفته نمی‌شود — گزینه ضعیف‌تری وجود ندارد. این در حین TLS handshake اعمال می‌شود: clientی که زیر حداقل شما باشد یک خطای اتصال می‌گیرد، نه یک صفحه قابل‌توضیح. قبل از اجبار 1.3، مصرف واقعی TLS 1.2 را در بخش TLS breakdown صفحه SSL/TLS چک کنید. برخلاف HSTS، این ظرف چند ثانیه اعمال — و برگردانده — می‌شود. HTTP/3 همیشه از TLS 1.3 استفاده می‌کند، پس تحت تأثیر قرار نمی‌گیرد.

همچنین Proxy Headers را برای headerهایی که انسین به‌طور خودکار اضافه می‌کند ببینید.