Cabeceras de seguridad en Apache - PHP





Existen diferentes cabeceras o headers de seguridad para sitios web brindando una seguridad extra a los usuarios.

X-Content-Type

Para evitar algunos tipos de drive-by-descargas. Está opción rechazará las respuestas con tipos MIME incorrectos si el servidor envía la respuesta de cabecera "X-Content-Type-Opciones: NOSNIFF". Esta es una característica de seguridad que ayuda a prevenir los ataques basados ​​en el tipo MIME confusión. evitando que se envie al navegador el archivo.

en .htaccess


Header set X-Content-Type-Options nosniff

en PHP

header('X-Content-Type-Options:nosniff');

Preveer Ataques Clickjacking

Las posibles opciones de esto son:

  • SAMEORIGIN: Esta configuración permitirá que la página que se mostrará en el marco en el mismo origen que la propia página.
  • DENY: Esta configuración evitará una página que muestra en un marco o un iframe.
  • ALLOW-FROM uri: Esta configuración permitirá que la página que se mostrará sólo en el origen especificado.

en .htaccess


Header always append X-Frame-Options SAMEORIGIN

en PHP

header('X-Frame-Options:SAMEORIGIN');

XSS-Protection

La cabecera X-XSS-Protection se utiliza para activar el filtro XSS que poseen los navegadores nuevos.

Se trata de una capa de seguridad adicional que bloquea ataques XSS

en .htaccess


Header set X-XSS-Protection “1; mode=block”

en PHP

header('X-XSS-Protection:1;mode=block');

HTTP Strict Transport Security (abreviado como HSTS)

Es una capa de seguridad que le indica a los navegadores que deben usar el protocolo HTTPS

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"

en PHP

$isHttps = !empty($_SERVER['HTTPS']) && strtolower($_SERVER['HTTPS']) != 'off';
if ($isHttps)
{ header('Strict-Transport-Security: max-age=15768000');}

Resumiendo:

.htacces


header('X-Content-Type-Options:nosniff');
Header always append X-Frame-Options SAMEORIGIN
Header set X-XSS-Protection “1; mode=block”

Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains;"

en PHP

header.php

header('X-Content-Type-Options:nosniff');
header('X-Frame-Options:SAMEORIGIN');
header('X-XSS-Protection:1;mode=block');
$isHttps = !empty($_SERVER['HTTPS']) && strtolower($_SERVER['HTTPS']) != 'off';
if ($isHttps)
{ header('Strict-Transport-Security: max-age=15768000');}

Verificar con Mozilla
Observatory.Mozilla

Revisar tu sitio:
Sucuri

Lectura recomendada:
Sucuri



Otras artículos de interés:

Tips: Resetear password en Ubuntu
Arrancar GNU/Linux en modo single user (un usuario) Reinicia tu máquina. Presiona ESC mientras se carga GRUB para entrar al menú. Si hay una opción de recovery (recuperación) selecciónala y presiona B para arrancar en mod...
Limitar el uso del CPU para una aplicación en Ubuntu - Linux Mint
CPULimit es una aplicación que se ejecuta por consola que permite limitar el uso del CPU para un proceso o aplicación determinada. Cuando empecemos a utilizar el programa tenemos que tener eun cuenta la cantidad de procesador...
Instalar Antivirus ClamAV CentOS 6
ClamAV es un software antivirus open source para las plataformas Windows, Linux y otros sistemas operativos semejantes a Unix. Es uno de los antivirus de software libre más usados, tanto en servidores como en equipos personales. Si quieres ...
Keyloggers - amenazas de la seguridad
Partiendo de que la información puede estar almacenada o en tránsito es fácil deducir que la misma puede ser obtenida en cualquiera de esos dos estadíos. Cuando un usuario desea preservar su información e...
Muestra de Audio en Thunar
Thunar es un gestor de archivos bastante configurable, por lo que podemos agregar opciones a nuestro gusto Solo necesitamos tener ...
La seguridad en la familia de protocolos SNMP
Un sistema de gestión de red basado en el protocolo SNMP (Simple Network Management Protocol) está compuesto por los siguientes elementos: varios agentes, o nodos gestionados, al menos una estación de gestión (manager)...
Optimizar Firefox en Ubuntu
Escribir about:config en la barra de navegación: Cambia los siguientes valores: network.http.pipelining true network.http.pipelining.maxrequests 30 network.http.max-connections 96 netwo...
Evitar Open Relay en nuestro servidor de correos
Open Relay es un mecanismo de usar el MTA (Mail Transport Agent, Agente de Transporte de Correo) como puente para correos (usualmente spam, aunque pueden ser muchas otras cosas, como los Hoax) que de otra manera no podrían...
Vinetto: examina los archivos Thumbs.db desde Linux
Vinetto es una herramienta forense para examinar archivos Thumbs.db generados en el sistema operativo MS Windows. Es un script en Python para ser usado desde la consola. Debería funcionar sin problemas en cualquier distribución Linux. ...
El NTFS de Windows: su lado oculto y el peligro de los nuevos virus
Debido a su estabilidad, funcionalidad y el alto nivel de seguridad que nos proporciona, el sistema de archivos NTFS es el preferido y utilizado en prácticamente todas las plataformas NT, W2000 y XP. Una de las características desconocidas en el si...

Brindanos
un o una


Redes Sociales

Publicidad

Hostin Web ViSerProject

Categorías


Planeta Vaslibre

Blog Roll


Nube de tags

  • anonimato
  • anonimo
  • antivirus
  • apache
  • blog
  • bsd
  • bug
  • cabeceras
  • centos
  • chrome
  • cifrado
  • computer
  • debian
  • exploits
  • fedora
  • fice
  • firefox
  • forense
  • freebsd
  • gentoo
  • github
  • gnome
  • gnu
  • gpl
  • gtk
  • hack
  • hacking
  • hosting
  • informatica
  • internet
  • isos
  • libre
  • licencias
  • linux
  • linuxmint
  • lxde
  • micros
  • mint
  • mit
  • mozilla
  • mysql
  • noticia
  • opensource
  • pgp
  • php
  • sabayon
  • seguridad
  • system
  • tecnologia
  • thunar
  • thunderbird
  • tor
  • troyanos
  • tware
  • ubuntu
  • underground
  • vaslibre
  • virus
  • viserproject
  • vivaldi
  • vulnerabilidades
  • web
  • website
  • windows
  • xanadu
  • xfce
  • xombra