- Report-Only
- Content-Security-Policy
- اعثر على المكان الذي يضبط فيه مضيفك أو شبكة CDN ترويسات الاستجابة، أو أضفها في إعدادات الخادم.
- ابدأ بالأقل خطرًا: X-Content-Type-Options بقيمة nosniff، وX-Frame-Options أو frame-ancestors. أضف Strict-Transport-Security فقط عندما يعمل HTTPS في كل مكان.
- أضف أولًا Content Security Policy في وضع Report-Only، لتعرض ما كانت ستحظره من دون كسر أي شيء.
- عندما تصبح التقارير نظيفة، فعّلها، ثم اختبر النماذج والمدفوعات والعناصر المضمّنة.
مثال
اقرأ الدليلانشر خريطة موقع وملف robots.txtX-Content-Type-Options: nosniff
Content-Security-Policy: frame-ancestors 'self'
Content-Security-Policy-Report-Only: default-src 'self'