57 lines
2.1 KiB
Markdown
57 lines
2.1 KiB
Markdown
---
|
|
marp: true
|
|
theme: gaia
|
|
backgroundColor: #fff
|
|
backgroundImage: url('img/hero-background.svg')
|
|
|
|
---
|
|
# </br></br>:shield: OWASP TOP 10 :shield:
|
|
# :shield: Nagłówki bezpieczeństwa HTTP :shield:
|
|
|
|
---
|
|
|
|
# OWASP TOP 10
|
|
- [OWASP](https://owasp.org/) - Open Web Application Security Project
|
|
- Zadaniem OWASP jest popularyzacja wiedzy na temat bezpieczeństwa aplikacji webowych
|
|
- Co kilka lat publikuje listę najpoważniejszych zagrożeń dla aplikacji webowych
|
|
- Aktualna wersja: [OWASP Top 10 2021](https://owasp.org/Top10/)
|
|
- Nowa wersja jest spodziewana w pierwszej połowie 2025 roku
|
|
|
|
---
|
|
# </br></br></br>:shield:Nagłówki HTTP :shield:
|
|
|
|
---
|
|
|
|
# Nagłówek HTTP - Content Security Policy (CSP)
|
|
- [Content Security Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/CSP) - polityka bezpieczeństwa treści
|
|
- Zabezpiecza przed atakami typu XSS (Cross-Site Scripting)
|
|
- Określa, jakie zasoby mogą być załadowane na stronie
|
|
- Jest wykorzystywany przez przeglądarkę
|
|
- Polityka działa w trybie *Allow-List*
|
|
- Przy budowaniu polityki można korzystać z trybu *Report-Only*
|
|
|
|
---
|
|
|
|
# Nagłówek HTTP - Access-Control-Allow-Origin (CORS)
|
|
- [Cross-Origin Resource Sharing](https://developer.mozilla.org/en-US/docs/Web/HTTP/CORS) - Zasady udostępniania zasobów między różnymi domenami
|
|
- Określa, czy zasób może być udostępniany między różnymi domenami
|
|
- Wartość nagłówka może być ustawiona na konkretną domenę lub na znak * dla wszystkich
|
|
- Nagłówek nie wspiera wyrażeń regularnych!
|
|
|
|
---
|
|
|
|
# Nagłówek HTTP - Cache-Control
|
|
- [Cache-Control](https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Cache-Control) - określa, jak należy przechowywać dany zasób
|
|
- Pozwala na kontrolę ważności danego zasobu na poziomie:
|
|
- aplikacji
|
|
- przeglądarki
|
|
- CDN - Content Delivery Network
|
|
|
|
---
|
|
|
|
# Plik *robots.txt*
|
|
- [robots.txt](https://developers.google.com/search/docs/advanced/robots/intro) - plik tekstowy, który określa, które zasoby mogą być indeksowane przez boty
|
|
- Jest dostępny w postaci pliku tekstowego pod adresem `https://[domain address]/robots.txt`
|
|
- Może też wskazywać na plik `sitemap.xml`
|
|
|