Mitä ovat HTTP-otsikot?
HTTP-otsikot ovat metadataa joka lähetetään selaimesi ja verkkopalvelimen välillä jokaisessa pyynnössä ja vastauksessa. Ne ohjaavat välimuistia, turvallisuutta, sisältötyyppiä ja muuta.
Tärkeät otsikot
| Otsikko | Tarkoitus |
|---|---|
Server | Verkkopalvelinohjelmisto (nginx, Apache jne.) |
Content-Type | Vastauksen muoto (HTML, JSON jne.) |
Cache-Control | Kuinka kauan vastausta välimuistitetaan |
X-Powered-By | Backend-teknologia (usein piilotettu turvallisuussyistä) |
Turvallisuusotsikot
| Otsikko | Mitä se tekee |
|---|---|
Strict-Transport-Security (HSTS) | Pakottaa HTTPS-yhteydet |
Content-Security-Policy (CSP) | Hallitsee mitä resursseja voi ladata |
X-Frame-Options | Estää clickjackingin (upotus iframe:en) |
X-Content-Type-Options | Estää MIME-tyypin arvailun |
Referrer-Policy | Hallitsee referrer-tiedon lähettämistä |
Turvallisuuspisteet
Tarkistamme kolme keskeistä turvallisuusotsikkoa: HSTS, CSP ja X-Frame-Options. Pisteet 3/3 tarkoittaa että kaikki olennaiset turvallisuusotsikot ovat paikallaan.