Заголовки
рекомендуемый набор одним тумблером, CSP сперва в режиме отчёта, сверка по факту ответа
Защитные заголовки ответа говорят браузеру, как обращаться с сайтом: работать только по HTTPS (HSTS), не угадывать тип файла (nosniff), не показывать страницы внутри чужого сайта, не отдавать адреса страниц чужим сервисам, какие адреса скриптов и стилей разрешены (CSP). Паспорт безопасности показывает, каких заголовков нет; здесь они включаются.
Кнопка «Рекомендуемый набор» включает безопасный набор сразу: HSTS на полгода без поддоменов, nosniff, Referrer-Policy, Permissions-Policy и запрет встраивания. Каждый заголовок можно выключить отдельно.
CSP включается в три шага: сначала «только отчёт» (нарушения записываются, но ничего не блокируется), потом на странице видно, что нарушалось за неделю, и только когда неделя прошла без нарушений, доступна кнопка «Включить строго».
Что важно знать
- Заголовки отдаёт раздача сайта, пересборка не нужна: свой домен, превью и служебный адрес получают их в течение минуты после сохранения, сеть доставки за несколько минут. Кнопка «Проверить, что сайт отдаёт» показывает по адресам сайта и превью состояния «применено», «ждём» и «не совпадает»; «ждём» сразу после сохранения это нормально.
- HSTS с поддоменами включайте только если все поддомены работают по HTTPS: иначе почта или старая CMS на поддомене перестанут открываться на полгода.
- В CSP уже разрешены адреса платформы (формы, помощник, Метрика); чужие сервисы, которые сайт грузит, добавьте в «Дополнительные адреса», иначе они попадут в отчёт о нарушениях.
Что вы увидите
Страница «Заголовки безопасности»: статус «включены» / «выключены», кнопки «Рекомендуемый набор» и «Выключить всё», пять тумблеров: «Только по https (HSTS)» со сроком 6 месяцев или 1 год и галочкой «Распространить на поддомены», «Не угадывать тип файла», «Запрет показа в чужом окне», «Не выдавать адреса страниц», «Камера, микрофон и геолокация закрыты».
Блок «Политика источников (CSP)»: режимы «Выключена», «Только отчёт», «Строго», поле «Дополнительные адреса, с которых сайт законно грузит ресурсы» (до 40), кнопка «Включить строго» и «Что нарушалось за 7 дней». Отдельный тумблер «Запрещать встроенные скрипты на страницах», по умолчанию выключен.
Кнопка «Проверить, что сайт отдаёт» и блок «Что отдают адреса сайта»: по сайту и превью состояния «применено», «ждём», «не совпадает» с полученным значением. Рекомендуемый набор: HSTS на полгода без поддоменов, CSP в режиме «только отчёт», встроенные скрипты разрешены.
Что сломается, если включить не то
HSTS с поддоменами: перестанут открываться поддомены на http, например почта или старая система. Запрет геолокации: кнопка «моё местоположение» на карте. Строгий CSP без полного списка адресов: карты, видео, виджеты. Запрет встроенных скриптов: счётчик или виджет, написанный прямо в странице, перестанет работать молча.
Поэтому порядок такой: включить CSP в режиме «только отчёт», через 7 дней без нарушений перейти к «Строго»; встроенные скрипты запрещать только сайту, у которого все скрипты вынесены в отдельные файлы. Разметка для поисковых систем (JSON-LD) кодом не считается.
Частые вопросы
- Нужно ли публиковать сайт после сохранения? Нет: заголовки отдаёт раздача, а не код сайта. Свой домен, превью и служебный адрес получают их в течение минуты, сеть доставки за несколько минут.
- Что выбрать, если не разбираюсь? «Рекомендуемый набор»: он безопасен для любого сайта и ничего не ломает.
- Что такое «Только отчёт» у CSP? Браузер не блокирует ничего, а сообщает о том, что заблокировал бы. Через неделю без нарушений строгий режим включается без риска.
- Почему «Включить строго» недоступно? Режим отчёта работает меньше 7 дней или за неделю были нарушения: добавьте их адреса в список или уберите с сайта.
Если не сработало
- Написано «Сайт ещё не подключён к выкладке: заголовки настраиваются после первой публикации». Опубликуйте сайт.
- Написано «Сначала включите режим «только отчёт»», «Режим отчёта только что включён: подождите неделю» или «Режим отчёта работает N дн., нужно 7». Строгий режим открывается через неделю чистого отчёта.
- Написано «За последние 7 дней были нарушения: добавьте их адреса в список или уберите с сайта». Список нарушений в блоке «Что нарушалось за 7 дней».
- После включения на сайте пропал виджет или карта. Выключите «Строго» (вернитесь в «Только отчёт») или «Запрещать встроенные скрипты» и проверьте, что вернулось; затем добавьте адреса виджета в дополнительные и включите снова.
- Проверка показывает «не совпадает». Раздача отдаёт не то, что задано: подождите несколько минут и проверьте снова; если не сошлось, напишите нам с текстом «получено: …».