HTTP güvenlik başlıkları nelerdir?

Question

IT Interview Practice · Accepted Answer

**HTTP güvenlik başlıkları**, tarayıcılara güvenlik korumaları uygulamasını talimat veren yanıt başlıklarıdır — XSS, clickjacking ve protokol indirmesi gibi saldırılara karşı savunma sağlamaya yardımcı olur. Web uygulamaları için kolay ve değerli bir savunma katmanıdırlar.

## Temel güvenlik başlıkları

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## Örnek

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## Neden önemli

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## Neden önemli

HTTP güvenlik başlıklarını anlamak değerlidir çünkü web uygulamaları için **kolay ve etkili bir savunma katmanı** sağlarlar, bu nedenle pratik güvenlik bilgisi olarak faydalıdırlar.

Güvenlik başlıkları tarayıcılara yaygın saldırılara karşı korumaları uygulamasını talimat verirler ve temel olanları anlamak değerlidir. **Content-Security-Policy (CSP)** en güçlüsüdür — hangi kaynakların ve komut dosyalarının yüklenip çalışabileceğini kontrol ederek XSS'ye karşı güçlü bir savunma sağlar (çıkış kaçışı atlandığında bile azaltmaya yardımcı olur). **Strict-Transport-Security (HSTS)** HTTPS'yi zorlar, indirme ve SSL-stripping saldırılarını önler. **X-Frame-Options** (veya CSP frame-ancestors) sayfanın iframe'lere gömülmesini engelleyerek **clickjacking** saldırılarını önler. **X-Content-Type-Options: nosniff**, Referrer-Policy ve Permissions-Policy ek korumaları sağlar.

Bu başlıkları ve ne karşı koruma sağladıklarını anlamak pratik bilgidir.

**Neden önemli olduğunu** anlamak temel değerdir: **eklemesi kolaydır** (sunucu/proxy üzerinde yapılandırılır) ancak az çabayla önemli koruma sağlarlar ve **derinlemesine savunma** uygularlar (ekstra katmanlar — örneğin CSP, kodlama hatası XSS'ye izin verse bile azaltabilir).

**Başlıkların güvenli kodlama için bir ikame olmadığı** temel uyarısını anlamak dengeli anlayış gösterir — başlıklar güvenli geliştirmeyi tamamlar, yerine geçmez; CSP'nin dikkatli yapılandırması gerekir.

Güvenlik başlıkları birçok sitenin yetersiz kullandığı değerli, düşük çabaya dayalı bir iyileştirmedir ve araçlar/tarayıcılar yaygın olarak bunları kontrol eder.

Güvenlik başlıkları web uygulamaları için kolay ve etkili derinlemesine savunma sağladığından (XSS, clickjacking, indirme saldırılarına karşı koruma) az çabayla, ve temel başlıkları ve bunların değerini anlamak web uygulaması güvenliğini iyileştirmek için faydalı olduğundan, HTTP güvenlik başlıklarını anlamak değerli, pratik güvenlik bilgisidir — web savunmasının düşük çabalı, yüksek değerli bir katmanıdır (özellikle XSS için CSP ve clickjacking için X-Frame-Options) ve güvenli kodlamayı tamamlar, web uygulamalarını güçlendirmek için faydalı bilgidir.

Temel güvenlik başlıkları

Örnek

Neden önemli

Neden önemli

İlgili sorular