X-Content-Type-Options başlığı yok

ÖnemDüşük

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_nosniff_missing

Kısa cevap

Ana sayfanız X-Content-Type-Options: nosniff olmadan sunuluyor. Bu başlık olmadan tarayıcı bildirilen Content-Type değerini yok sayıp türü içerikten tahmin edebilir; böylece görsel ya da metin olarak yüklenmiş bir dosya betik olarak çalıştırılabilir ya da stil olarak uygulanabilir. Başlığın tek bir geçerli değeri vardır ve eklemek tek satırdır.

Neden önemli

Tür tahmini (MIME sniffing), kullanıcıların alan adınıza dosya yükleyebildiği ya da dosyaları etkileyebildiği her yerde önemlidir: medya yüklemeleri, form ekleri, kullanıcı içeriği, JSONP uç noktaları. nosniff varken tarayıcılar doğru türle sunulmayan bir betiği çalıştırmayı ya da stili uygulamayı reddeder. Az emek isteyen bir sıkılaştırma adımıdır ve sıralamaya etkisi yoktur.

Glimana bunu nasıl tespit eder

Glimana HTTPS ana sayfanızın yanıt başlıklarını okur. Kontrol yalnız X-Content-Type-Options tam olarak nosniff olduğunda geçer (büyük-küçük harf ve çevresindeki boşluklar önemsenmez); başlığın olmaması ya da başka bir değer düşük önemle başarısız olur. Yalnız ana sayfanın yanıtına bakılır; başlığın yalnız orada değil, tüm sitede gönderildiğinden emin olun.

Nasıl düzeltilir

Dikkat

Başlık açılınca yanlış türle sunulan betik ve stiller yüklenmez olur: bir .js dosyası text/javascript gibi bir JavaScript türüyle, bir .css dosyası text/css ile gelmelidir. Özellikle özel PHP yollarıyla ya da yanlış ayarlı bir CDN'den sunulan dosyalar için tarayıcı konsolunda engellenen kaynaklara bakın. Nginx'te kendi add_header satırı olan bir location bloğu devralınan başlıkları düşürür; başlık bazı yollarda kaybolabilir.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Güvenlik başlıkları grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › X-Content-Type-Options başlığı yok altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.

WordPressCloudflareÖzel sunucu (Apache / Nginx)

WordPress nosniff başlığını admin-ajax ve REST API yanıtlarında gönderir, ama herkese açık sayfalarda göndermez. .htaccess içine ekleyin (Apache, mod_headers): Header always set X-Content-Type-Options "nosniff". Birçok güvenlik eklentisinde aynı anahtar vardır; yalnız tek bir yer kullanın.

İki hazır seçenek var, biri yeterlidir: Rules › Settings › Managed Transforms › Add security headers (X-Frame-Options: SAMEORIGIN ve birkaç başka başlığı da ekler) ya da SSL/TLS › Edge Certificates › HTTP Strict Transport Security (HSTS) altındaki HSTS ayarlarında bulunan No-Sniff Header anahtarı.

Nginx: server bloğuna add_header X-Content-Type-Options "nosniff" always; ekleyin ve dosyalar doğru türü alsın diye http bloğunda include mime.types; satırını koruyun.
Apache: Header always set X-Content-Type-Options "nosniff"; türleri dosya uzantılarından mod_mime belirler.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar günkü haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.