Apache Sunucuda Güvenlik Headerları
Apache sunucularında güvenliği artırmak amacıyla HTTP headerları temel bir rol oynar. Bu headerlar, tarayıcıların ve kullanıcıların sunucuya gönderilen ve alınan veriler üzerinde kontrol sahibi olmasını sağlar. Günümüzde, birçok güvenlik açığı bu headerların doğru yapılandırılmasıyla önlenebilir.
İlk olarak,
Content Security Policy (CSP) headerı, sitenizin hangi kaynaklardan içerik yükleyebileceğini belirler. Örneğin, XSS saldırılarına karşı koruma sağlar. Bir örnek yapılandırma şu şekilde olabilir:
12
Header set Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscript.com; object-src 'none';"
İkinci olarak,
X-Frame-Options headerı, sitenizin başka sitelerin iframe içinde görüntülenmesini engelleyerek clickjacking saldırılarını önler. Modern tarayıcılar bu headerı desteklemektedir:
12
Header always append X-Frame-Options DENY
Üçüncü önemli header,
Strict-Transport-Security (HSTS), HTTPS kullanımı zorunlu hale getirir ve kullanıcıların siteyi her zaman güvenli bağlantı üzerinden ziyaret etmesini sağlar. Süreyi ve alan adını belirlemek kritik:
12
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"
Son olarak,
X-Content-Type-Options headerı, MIME tiplerinin doğru şekilde yorumlanmasını sağlar ve MIME type saldırılarını engeller:
12
Header set X-Content-Type-Options nosniff
Bu headerların doğru yapılandırılması, Apache sunucusu üzerinde temel bir güvenlik katmanı oluşturur. Her biri farklı saldırı vektörlerine karşı koruma sağlar ve genel güvenlik duruşunu güçlendirir. Güvenlik headerlarının güncel ve uyumlu olup olmadığını düzenli olarak denetlemek, olası açıkları minimize etmek açısından kritik önemdedir. Apache yapılandırmasında bu headerların eklenmesi, sadece güvenliği artırmakla kalmaz, aynı zamanda modern tarayıcıların sunduğu ek güvenlik avantajlarından da faydalanmanızı sağlar.
