HTTP سیکیورٹی ہیڈرز کیا ہیں؟

Question

Accepted Answer

**HTTP سیکیورٹی ہیڈرز** وہ response headers ہیں جو براؤزرز کو سیکیورٹی تحفظات کو نافذ کرنے کی ہدایت دیتے ہیں — XSS، clickjacking، اور protocol downgrade جیسے حملوں سے دفاع میں مدد دیتے ہیں۔ یہ ویب ایپلیکیشنز کے لیے دفاع کی ایک آسان اور قیمتی تہ ہے۔

## اہم سیکیورٹی ہیڈرز

```text
CONTENT-SECURITY-POLICY (CSP) → controls what resources/scripts can load/run → a strong
  defense against XSS (restrict script sources; block inline scripts) — the most powerful
STRICT-TRANSPORT-SECURITY (HSTS) → force HTTPS (browser refuses HTTP) → prevents
  downgrade/SSL-stripping attacks
X-CONTENT-TYPE-OPTIONS: nosniff → stop MIME-type sniffing (prevents some attacks)
X-FRAME-OPTIONS / CSP frame-ancestors → prevent CLICKJACKING (block embedding in iframes)
REFERRER-POLICY → control how much referrer info is sent (privacy)
PERMISSIONS-POLICY → control access to browser features (camera, geolocation, etc.)
```

## مثال

```text
Content-Security-Policy: default-src 'self'; script-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
```

## یہ کیوں اہم ہے (defense in depth)

```text
✓ EASY to add (configure on the server/proxy) → significant protection for little effort
✓ DEFENSE IN DEPTH → an extra layer (e.g. CSP mitigates XSS even if escaping is missed)
✓ CLICKJACKING protection (X-Frame-Options), forced HTTPS (HSTS), etc.
⚠️ Not a substitute for secure coding (fix the root causes too); CSP needs careful config
→ A valuable, low-effort security improvement for web apps. (Tools/scanners check these.)
```

## یہ کیوں اہم ہے

HTTP سیکیورٹی ہیڈرز کو سمجھنا قیمتی ہے کیونکہ یہ **ویب ایپلیکیشنز کے لیے دفاع کی ایک آسان، موثر تہ فراہم کرتے ہیں**، اس لیے یہ مفید عملی سیکیورٹی کے علم میں ہے۔

سیکیورٹی ہیڈرز براؤزرز کو عام حملوں سے بچاؤ کو نافذ کرنے کی ہدایت دیتے ہیں، اور اہم ترین کو سمجھنا قیمتی ہے۔ **Content-Security-Policy (CSP)** سب سے طاقتور ہے — یہ کنٹرول کرتا ہے کہ کون سے resources اور scripts load اور چل سکتے ہیں، XSS کے خلاف مضبوط دفاع فراہم کرتے ہوئے (یہاں تک کہ جب output escaping miss ہو جائے تو اس کو کم کرتے ہوئے)۔ **Strict-Transport-Security (HSTS)** HTTPS کو لازمی کرتا ہے، downgrade اور SSL-stripping حملوں کو روکتے ہوئے۔ **X-Frame-Options** (یا CSP frame-ancestors) **clickjacking** کو روکتا ہے صفحہ کو iframes میں embed ہونے سے روک کر۔ **X-Content-Type-Options: nosniff**، Referrer-Policy، اور Permissions-Policy مزید حفاظت شامل کرتے ہیں۔

یہ headers کو سمجھنا اور وہ کس چیز سے بچاتے ہیں یہ عملی علم ہے۔

**یہ کیوں اہم ہے** سمجھنا اہم قیمت ہے: یہ **شامل کرنے میں آسان ہیں** (server/proxy پر configured) پھر بھی بہت کم کوشش میں نمایاں حفاظت فراہم کرتے ہیں، اور یہ **defense in depth** کو implement کرتے ہیں (اضافی تہیں — مثال کے طور پر CSP XSS کو کم کرتے ہوئے اگر coding کی غلطی اسے allow کرے)۔

سمجھنا کہ **headers محفوظ coding کا متبادل نہیں ہیں** (آپ کو ابھی بھی root causes کو ٹھیک کرنا چاہیے؛ CSP کو احتیاط سے configure کرنے کی ضرورت ہے) متوازن سمجھ کو ظاہر کرتا ہے — headers معاون ہیں، محفوظ development کی جگہ نہیں لیتے۔

سیکیورٹی headers ایک قیمتی، کم کوشش والی بہتری ہے جس کو بہت سی sites کم استعمال کرتی ہیں، اور tools/scanners عام طور پر ان کے لیے چیک کرتے ہیں۔

چونکہ سیکیورٹی headers آسان، موثر defense-in-depth فراہم کرتے ہیں ویب ایپلیکیشنز کے لیے (XSS، clickjacking، downgrade حملوں سے بچاتے ہوئے) بہت کم کوشش میں، اور چونکہ اہم headers اور ان کی قیمت کو سمجھنا ویب ایپلیکیشن سیکیورٹی کو بہتر بنانے کے لیے مفید ہے، HTTP سیکیورٹی headers کو سمجھنا قیمتی، عملی طور پر متعلقہ سیکیورٹی علم ہے — ویب دفاع کی ایک کم کوشش، زیادہ قیمتی تہ (خاص طور پر CSP XSS کے لیے اور X-Frame-Options clickjacking کے لیے) جو محفوظ coding کو معاون کرتا ہے، ویب ایپلیکیشنز کو مضبوط بنانے کے لیے مفید علم۔