Cabeceras de seguridad en Apache - PHP




Existen diferentes cabeceras o headers de seguridad para sitios web brindando una seguridad extra a los usuarios.

X-Content-Type

Para evitar algunos tipos de drive-by-descargas. Está opción rechazará las respuestas con tipos MIME incorrectos si el servidor envía la respuesta de cabecera "X-Content-Type-Opciones: NOSNIFF". Esta es una característica de seguridad que ayuda a prevenir los ataques basados ​​en el tipo MIME confusión. evitando que se envie al navegador el archivo.

en .htaccess


Header set X-Content-Type-Options nosniff

en PHP

header('X-Content-Type-Options:nosniff');

Preveer Ataques Clickjacking

Las posibles opciones de esto son:

  • SAMEORIGIN: Esta configuración permitirá que la página que se mostrará en el marco en el mismo origen que la propia página.
  • DENY: Esta configuración evitará una página que muestra en un marco o un iframe.
  • ALLOW-FROM uri: Esta configuración permitirá que la página que se mostrará sólo en el origen especificado.

en .htaccess


Header always append X-Frame-Options SAMEORIGIN

en PHP

header('X-Frame-Options:SAMEORIGIN');

XSS-Protection

La cabecera X-XSS-Protection se utiliza para activar el filtro XSS que poseen los navegadores nuevos.

Se trata de una capa de seguridad adicional que bloquea ataques XSS

en .htaccess


Header set X-XSS-Protection “1; mode=block”

en PHP

header('X-XSS-Protection:1;mode=block');

HTTP Strict Transport Security (abreviado como HSTS)

Es una capa de seguridad que le indica a los navegadores que deben usar el protocolo HTTPS

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"

en PHP

$isHttps = !empty($_SERVER['HTTPS']) && strtolower($_SERVER['HTTPS']) != 'off';
if ($isHttps)
{ header('Strict-Transport-Security: max-age=15768000');}

Resumiendo:

.htacces


header('X-Content-Type-Options:nosniff');
Header always append X-Frame-Options SAMEORIGIN
Header set X-XSS-Protection “1; mode=block”

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"

en PHP

header.php

header('X-Content-Type-Options:nosniff');
header('X-Frame-Options:SAMEORIGIN');
header('X-XSS-Protection:1;mode=block');
$isHttps = !empty($_SERVER['HTTPS']) && strtolower($_SERVER['HTTPS']) != 'off';
if ($isHttps)
{ header('Strict-Transport-Security: max-age=15768000');}

Verificar con Mozilla
Observatory.Mozilla

Revisar tu sitio:
Sucuri

Lectura recomendada:
Sucuri



Otras artículos de interés:

Arrancar Ghost for GNU/Linux desde una unidad USB
Ghost for Linux es una de las mejores herramientas para realizar backup’s de nuestros equipos y en algunos casos por comodidad o porque no disponemos de una unidad de cd-rom, tenemos la necesidad de arrancarlo desde una unidad USB. A continuaci...
Instalar Songbird en Ubuntu
Songbird es un reproductor multimedia. Está basado en la plataforma XULRunner de Mozilla, por lo cual dispone de versiones para Mac OS X y Windows. El motor principal del programa, mig, ha revelado que Songbird utiliza el plugin de...
El error http 500 en sitio web
Para los desarrolladores web el erro 500 es una verdadera tortura, porque este error puede ser cualquier cosa y allí comienza la carrera para levantar la página y que vuelva a estar operativa en el menor tiempo posible. ...
Actualizar al Kernel 3.2.6 en Ubuntu / LinuxMint
Novedades en el kernel 3.2.6: El Linux kernel 3.2.6 incluye las típicas correcciones de DRM, mejoras ALSA, algunas actualizaciones ARM y muchas otras correcciones pequeñas. Nota: Algunos drivers privativos pu...
Ver Arbol jerárquico de archivos y directorios (tree) por consola
A veces necesitamos ver el arbol jerárquico de archivos y directorios que conforman nuestro equipo, y aún cuando contamos con gestores de archivos (Nemo, Thunar etc) a veces es necesario hacerlo por consola (terminal). Abrir consola:...
Encriptación WPA en Ubuntu
Una de las formas de encriptar una red wireless es usar encriptación WPA. Este método de encriptación es una evolución del ...
Introducción a la seguridad Wireless
Las conexiones entre ordenadores se han hecho hasta ahora a través de molestos cables que limitan la movilidad y las distancias entre los interlocutores. Al igual que ocurriera con el salto de la telefonía fija a la móvil, desde hace un par de añ...
Ingeniería Inversa... una alternativa para llegar al conocimiento
Si escribimos en Google.com las palabras Ingeniería Inversa, nos devuelve 328,000 páginas en español y inglés. Este texto no pretende ser un manual de como hacer Ingeniería Inversa solo es un bosquejo para dar una idea general de lo que es....
DenyHosts: Cómo prevenir ataques de diccionario o fuerza bruta en Ubuntu
Si estamos preocupados por la seguridad de nuestros servidores y mas del servicio/protocolo Secure Shell cuando esta relacionado con ataques de fuerza bruta ya sea por medio de diccionarios, entonces debemos de utilizar ...
Optimizar Firefox en Ubuntu
Escribir about:config en la barra de navegación: Cambia los siguientes valores: network.http.pipelining true network.http.pipelining.maxrequests 30 network.http.max-connections 96 netwo...

Brindanos
un o una


Redes Sociales

Publicidad


Gana Bitcoins desde tu casa

Categorías


Planeta Vaslibre

Blog Roll




Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • cabeceras
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra