Пaраметр security_headers (deprecated)#

Примечание

Данный механизм не рекомендован к использованию в SOWA. В качестве альтернативы рекомендуется использовать параметры set_input_headers/set_output_headers (см. раздел Пaраметр modifiers).

Группа параметров security_headers предназначена для определения безопасных заголовков ответа.

Опциональные параметры:

  • referrer_policy

    В значении параметра указывается, какая информация о referrer, отправленная в заголовке Referer, должна быть включена в запросы.

    Тип параметра:

    • no-referrer;

    • no-referrer-when-downgrade;

    • origin;

    • origin-when-cross-origin;

    • same-origin;

    • strict-origin;

    • strict-origin-when-cross-origin;

    • unsafe-url.

    По умолчанию: Не имеет значения по умолчанию.

  • x_frame_options

    В значении параметра указывается, следует ли разрешить браузеру отображать страницу во фрейме.

    Тип параметра:

    • DENY;

    • SAMEORIGIN.

    По умолчанию: Не имеет значения по умолчанию.

  • xss_protection

    В значении параметра указывается, следует ли использовать заголовки для дополнительной защиты от xss.

    Тип параметра:

    • true;

    • false.

    По умолчанию: Не имеет значения по умолчанию.

  • forced_ssl

    В значении параметра указывается возможность для принудительной установки TLS(SSL)-соединения.

    Тип параметра: группа параметров и их значения.

    По умолчанию: не имеет значения по умолчанию.

    Обязательные параметры:

    • max_age

      В значении параметра указывается время в секундах, в течение которого браузер должен помнить, что доступ к сайту возможен только по протоколу https.

      Тип параметра: целочисленное значение.

      По умолчанию: не имеет значения по умолчанию.

  • content_security

    Тип параметра: группа параметров и их значения.

    По умолчанию: не имеет значения по умолчанию.

    Опциональные параметры:

    • block_mixed_content

      В значении параметра определяется, использовать только ssl/tls контент или нет.

      Тип параметра:

      • true;

      • false.

      По умолчанию: не имеет значения по умолчанию.

    • connect_src

      В значении параметра определяется ограничение для url-адресов, которые могут быть загружены с использованием сценариев интерфейсов.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.

    • font_src

      В значении параметра указываются валидные источники для шрифтов, загруженные с использованием @font-face.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.

    • script_src

      В значении параметра указываются валидные источники для JavaScript.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.

    • worker_src

      В значении параметра указываются валидные источники для сценариев Worker, SharedWorker и ServiceWorker.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.

    • style_src

      В значении параметра указываются валидные источники для stylesheets.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.

    • frame_ancestors

      В значении параметра определяются допустимые «родители», которые могут встраивать страницу, используя frame, iframe, object, embed и applet.

      Тип параметра: текстовое значение.

      По умолчанию: не имеет значения по умолчанию.