Пaраметр security_headers#

Группа параметров security_headers предназначена для определения безопасных заголовков ответа.

Опциональные параметры:

• referrer_policy

  В значении параметра указывается, какая информация о referrer'е, отправленная в заголовке Referer, должна быть включена в запросы.

  Тип параметра:

  • no-referrer;

  • no-referrer-when-downgrade;

  • origin;

  • origin-when-cross-origin;

  • same-origin;

  • strict-origin;

  • strict-origin-when-cross-origin;

  • unsafe-url.

  По умолчанию: Не имеет значения по умолчанию.

• x_frame_options

  В значении параметра указывается, следует ли разрешить браузеру отображать страницу во фрейме.

  Тип параметра:

  • DENY;

  • SAMEORIGIN.

  По умолчанию: Не имеет значения по умолчанию.

• xss_protection

  В значении параметра указывается, следует ли использовать заголовки для дополнительной защиты от xss.

  Тип параметра:

  • true;

  • false.

  По умолчанию: Не имеет значения по умолчанию.

• forced_ssl

  В значении параметра указывается возможность для принудительной установки TLS(SSL)-соединения.

  Тип параметра: группа параметров и их значения.

  По умолчанию: не имеет значения по умолчанию.

  Обязательные параметры:

  • max_age

    В значении параметра указывается время в секундах, в течение которого браузер должен помнить, что доступ к сайту возможен только по протоколу https.

    Тип параметра: целочисленное значение.

    По умолчанию: не имеет значения по умолчанию.

• content_security

  Тип параметра: группа параметров и их значения.

  По умолчанию: не имеет значения по умолчанию.

  Опциональные параметры:

  • block_mixed_content

    В значении параметра определяется, использовать только ssl/tls контент или нет.

    Тип параметра:

    • true;

    • false.

    По умолчанию: не имеет значения по умолчанию.

  • connect_src

    В значении параметра определяется ограничение для url-адресов, которые могут быть загружены с использованием сценариев интерфейсов.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.

  • font_src

    В значении параметра указываются валидные источники для шрифтов, загруженные с использованием @font-face.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.

  • script_src

    В значении параметра указываются валидные источники для JavaScript.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.

  • worker_src

    В значении параметра указываются валидные источники для сценариев Worker, SharedWorker и ServiceWorker.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.

  • style_src

    В значении параметра указываются валидные источники для stylesheets.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.

  • frame_ancestors

    В значении параметра определяются допустимые "родители", которые могут встраивать страницу, используя frame, iframe, object, embed и applet.

    Тип параметра: текстовое значение.

    По умолчанию: не имеет значения по умолчанию.