ما هي رؤوس أمان HTTP؟

Question

Accepted Answer

**رؤوس أمان HTTP** هي رؤوس الاستجابة التي توجه المتصفحات لفرض حماية أمنية — مما يساعد في الدفاع ضد الهجمات مثل XSS والنقر على الروابط المزيفة (clickjacking) والانحدار في البروتوكول. إنها طبقة دفاع سهلة وقيمة لتطبيقات الويب.

## رؤوس الأمان الرئيسية

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## مثال

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## لماذا تهم (الدفاع بعمق متعدد الطبقات)

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## لماذا يهم

فهم رؤوس أمان HTTP مهم لأنها توفر **طبقة دفاع سهلة وفعالة لتطبيقات الويب**، لذا فهي معرفة أمان عملية مفيدة.

رؤوس الأمان توجه المتصفحات لفرض حماية ضد الهجمات الشائعة، وفهم الرؤوس الرئيسية مهم. **Content-Security-Policy (CSP)** هي الأقوى — حيث تتحكم في الموارد والبرامج النصية التي يمكنها التحميل والتشغيل، مما يوفر دفاعاً قوياً ضد XSS (حتى التخفيف منه عند فقدان إخراج المحتوى). **Strict-Transport-Security (HSTS)** يفرض HTTPS، مما يمنع هجمات الانحدار وإزالة SSL. **X-Frame-Options** (أو CSP frame-ancestors) يمنع **clickjacking** بمنع تضمين الصفحة في iframes. **X-Content-Type-Options: nosniff**، و Referrer-Policy، و Permissions-Policy توفر حماية إضافية.

فهم هذه الرؤوس وما تحمي منه هو المعرفة العملية.

فهم **لماذا تهم** هو القيمة الرئيسية: إنها **سهلة الإضافة** (مُعدَّة على الخادم/الوكيل) وتوفر حماية كبيرة بجهد قليل، وتطبق **الدفاع بعمق** (طبقات إضافية — مثل CSP التخفيف من XSS حتى في حالة وجود خطأ في الترميز).

فهم التنبيه المهم بأن **الرؤوس ليست بديلاً عن الترميز الآمن** (يجب عليك إصلاح الأسباب الجذرية؛ يحتاج CSP إلى تكوين حذر) يعكس فهماً متوازناً — تكمل الرؤوس ولا تحل محل التطوير الآمن.

رؤوس الأمان هي تحسين قيم وسهل الاستخدام لا تستخدمه العديد من المواقع، والأدوات/الماسحات الضوئية عادة ما تتحقق منها.

لأن رؤوس الأمان توفر دفاعاً سهلاً وفعالاً بعمق متعدد الطبقات لتطبيقات الويب (الحماية من XSS و clickjacking و هجمات الانحدار) بجهد قليل، ولأن فهم الرؤوس الرئيسية وقيمتها مفيد لتحسين أمان تطبيقات الويب، فهم رؤوس أمان HTTP هو معرفة أمان قيمة وعملية ذات صلة — طبقة دفاع سهلة وعالية القيمة لويب (خاصة CSP لـ XSS و X-Frame-Options لـ clickjacking) تكمل الترميز الآمن، معرفة مفيدة لتعزيز تطبيقات الويب.