Tạo cấu hình security headers cho website
Bắt buộc HTTPS
Chống clickjacking
Chống MIME sniffing
Kiểm soát referrer
Security headers generator online free - Công cụ tạo cấu hình security headers cho website miễn phí. Hỗ trợ HSTS, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy. Export config cho Nginx, Apache, Next.js. Bảo vệ website khỏi XSS, clickjacking, MIME sniffing. Hoàn toàn miễn phí.
Security headers là HTTP response headers giúp bảo vệ website khỏi nhiều loại attacks: HSTS bắt buộc HTTPS, ngăn SSL stripping attacks. X-Frame-Options ngăn clickjacking - attacker embed site của bạn trong iframe. X-Content-Type-Options ngăn MIME sniffing - browser đoán sai content type. Referrer-Policy kiểm soát thông tin gửi đi khi user click link. Permissions-Policy hạn chế browser features (camera, microphone, geolocation). Thiếu security headers, website của bạn vulnerable với nhiều attacks. Công cụ này giúp bạn tạo config đúng cho server của mình.
Strict-Transport-Security (HSTS) buộc trình duyệt chỉ kết nối qua HTTPS, ngăn chặn SSL stripping attacks khi attacker chuyển hướng từ HTTPS về HTTP. Max-age quy định thời gian (giây) trình duyệt nhớ quy tắc này. X-Frame-Options ngăn website bị nhúng trong iframe của trang khác, bảo vệ khỏi clickjacking - kiểu tấn công dụ người dùng click vào nút ẩn. X-Content-Type-Options: nosniff ngăn trình duyệt đoán MIME type của file, tránh trường hợp file text bị thực thi như JavaScript. Referrer-Policy kiểm soát thông tin URL được gửi khi người dùng click link sang trang khác, bảo vệ privacy và tránh lộ thông tin nhạy cảm trong URL. Permissions-Policy hạn chế các tính năng trình duyệt như camera, microphone, geolocation mà trang web có thể sử dụng.
Sau khi cấu hình security headers, bạn cần kiểm tra xem chúng đã hoạt động đúng chưa. Cách 1: Dùng SecurityHeaders.com - nhập URL website và nhận điểm đánh giá A+ đến F cùng chi tiết từng header. Cách 2: Dùng Chrome DevTools - mở tab Network, click vào request đầu tiên, xem Response Headers để kiểm tra từng header. Cách 3: Dùng curl command - chạy 'curl -I https://your-domain.com' để xem response headers trong terminal. Cách 4: Dùng Mozilla Observatory - công cụ miễn phí của Mozilla đánh giá toàn diện security của website. Mục tiêu nên đạt điểm A hoặc A+ trên SecurityHeaders.com. Nếu có header không xuất hiện, kiểm tra lại cấu hình server và restart service.
Mỗi framework và server có cách cấu hình security headers khác nhau. Với Nginx, dùng directive add_header trong block server hoặc location. Với Apache, dùng Header always set trong file .htaccess hoặc httpd.conf. Với Next.js, cấu hình trong next.config.js qua async headers() function. Với Express.js, dùng middleware helmet.js - chỉ cần app.use(helmet()) là có đầy đủ security headers mặc định. Với Vercel, thêm headers trong vercel.json. Với Cloudflare, có thể set headers qua Transform Rules hoặc Workers. Với WordPress, dùng plugin như HTTP Headers hoặc thêm vào .htaccess. Lưu ý: một số CDN và reverse proxy có thể override headers, cần kiểm tra kỹ sau khi deploy.
HSTS preload đưa domain của bạn vào danh sách hardcoded trong browsers, bắt buộc HTTPS ngay từ request đầu tiên. Để đăng ký preload: max-age >= 1 năm, includeSubDomains, preload flag, và submit tại hstspreload.org. Lưu ý: rất khó remove khỏi preload list, chỉ dùng khi chắc chắn.
DENY: không cho phép embed trong iframe ở bất kỳ đâu. SAMEORIGIN: chỉ cho phép embed trong iframe từ cùng origin. Dùng DENY nếu không cần embed. Dùng SAMEORIGIN nếu có tính năng cần iframe (ví dụ: preview trong admin panel).
strict-origin-when-cross-origin là balanced choice: gửi full URL cho same-origin, chỉ gửi origin cho cross-origin HTTPS, không gửi gì cho HTTP. no-referrer nếu cần privacy tối đa. strict-origin nếu muốn gửi origin nhưng không path.
CSP phức tạp và cần customize theo từng website (scripts, styles, images sources). Tool này focus vào các headers đơn giản có thể apply ngay. Để tạo CSP, dùng các tools chuyên biệt như CSP Evaluator của Google hoặc report-uri.com.
Chúng tôi không chỉ thiết kế website, mà còn giúp doanh nghiệp xây dựng thương hiệu số mạnh mẽ. Cung cấp dịch vụ thiết kế website trọn gói từ thiết kế đến tối ưu SEO. Hãy liên hệ ngay với Tấn Phát Digital để cùng tạo nên những giải pháp công nghệ đột phá, hiệu quả và bền vững cho doanh nghiệp của bạn tại Hồ Chí Minh.
