HTTP security headers क्या हैं?

Question

Accepted Answer

**HTTP security headers** ऐसे response headers हैं जो browsers को सुरक्षा सुरक्षाएं लागू करने का निर्देश देते हैं — XSS, clickjacking, और protocol downgrade जैसे attacks के विरुद्ध बचाव में मदद करते हैं। ये web applications के लिए बचाव की एक आसान, मूल्यवान परत हैं।

## प्रमुख security headers

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## उदाहरण

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## ये क्यों मायने रखते हैं (defense in depth)

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## यह क्यों महत्वपूर्ण है

HTTP security headers को समझना मूल्यवान है क्योंकि ये **web applications के लिए बचाव की एक आसान, प्रभावी परत** प्रदान करते हैं, इसलिए यह उपयोगी व्यावहारिक सुरक्षा ज्ञान है।

Security headers browsers को सामान्य attacks के विरुद्ध सुरक्षाएं लागू करने का निर्देश देते हैं, और प्रमुख headers को समझना मूल्यवान है। **Content-Security-Policy (CSP)** सबसे शक्तिशाली है — यह नियंत्रित करता है कि कौन से resources और scripts load और run कर सकते हैं, XSS के विरुद्ध एक मजबूत बचाव प्रदान करता है (output escaping छूट जाने पर भी इसे कम करता है)। **Strict-Transport-Security (HSTS)** HTTPS को बाध्य करता है, downgrade और SSL-stripping attacks को रोकता है। **X-Frame-Options** (या CSP frame-ancestors) page को iframes में embed होने से रोककर **clickjacking** को रोकता है। **X-Content-Type-Options: nosniff**, Referrer-Policy, और Permissions-Policy आगे की सुरक्षाएं जोड़ते हैं।

इन headers और वे किसके विरुद्ध सुरक्षा प्रदान करते हैं, इसे समझना व्यावहारिक ज्ञान है।

**ये क्यों मायने रखते हैं** यह समझना मुख्य मूल्य है: वे **जोड़ने में आसान** हैं (server/proxy पर configure किए जाते हैं) फिर भी थोड़े प्रयास से महत्वपूर्ण सुरक्षा प्रदान करते हैं, और वे **defense in depth** लागू करते हैं (अतिरिक्त परतें — उदाहरण के लिए CSP द्वारा XSS को कम करना भले ही कोई coding गलती इसे होने दे)।

यह महत्वपूर्ण चेतावनी समझना कि **headers secure coding का विकल्प नहीं हैं** (आपको अभी भी root causes को ठीक करना होगा; CSP को सावधानीपूर्वक configuration की आवश्यकता है) संतुलित समझ को दर्शाता है — headers secure development के पूरक हैं, उसकी जगह नहीं लेते।

Security headers एक मूल्यवान, कम-प्रयास वाला सुधार हैं जिसका कई sites कम उपयोग करती हैं, और tools/scanners आमतौर पर इनकी जांच करते हैं।

चूंकि security headers web applications के लिए थोड़े प्रयास से आसान, प्रभावी defense-in-depth प्रदान करते हैं (XSS, clickjacking, downgrade attacks के विरुद्ध सुरक्षा), और चूंकि प्रमुख headers और उनके मूल्य को समझना web app सुरक्षा में सुधार के लिए उपयोगी है, HTTP security headers को समझना मूल्यवान, व्यावहारिक रूप से प्रासंगिक सुरक्षा ज्ञान है — web defense की एक कम-प्रयास, उच्च-मूल्य वाली परत (विशेष रूप से XSS के लिए CSP और clickjacking के लिए X-Frame-Options) जो secure coding की पूरक है, web applications को hardening के लिए उपयोगी ज्ञान।