Sikre HTTP-responsheaders
HTTP-headers fortæller browseren hvordan den skal behandle din side. Korrekt satte headers beskytter mod en række almindelige angreb.
- Content-Security-Policy (CSP): begrænser hvilke kilder browseren må indlæse scripts, stilarter og andet indhold fra, beskytter mod XSS-angreb
- Strict-Transport-Security (HSTS): tvinger browseren til altid at bruge HTTPS til dit domæne
- X-Content-Type-Options: nosniff: forhindrer browseren i at gætte filtyper forkert
- X-Frame-Options: forhindrer din side i at blive indlejret i andres hjemmesider (clickjacking-beskyttelse)
- Referrer-Policy: styrer hvor meget information der sendes til andre sider når en besøgende klikker et link ud
- Permissions-Policy: begrænser hvilke browser-funktioner (kamera, mikrofon, lokation osv.) din side må bede om adgang til
Nyttige værktøjer: SecurityHeaders.com (test dine headers gratis), Mozilla HTTP Observatory (fuld sikkerhedsscanning), og SSL Labs (test din SSL/TLS-konfiguration).
Cloudflare
Cloudflare er gratis at komme i gang med, og tilbyder flere lag beskyttelse i én tjeneste:
- DDoS-beskyttelse: absorberer og filtrerer skadelig trafik, før den når din server
- WAF (Web Application Firewall): blokerer kendte angrebsmønstre (SQL-injection, XSS m.fl.) automatisk
- SSL/TLS-kryptering: gratis certifikat, automatisk fornyelse, og understøttelse af moderne TLS-versioner
- Bot Fight Mode: udfordrer og blokerer automatiserede bots uden at påvirke rigtige besøgende
- Rate Limiting: begrænser hvor mange forespørgsler en enkelt IP-adresse kan sende inden for et tidsrum, forhindrer brute-force og misbrug
- Page Rules / Cache-regler: optimerer indlæsningstid og reducerer belastning på din origin-server
Backup
Selv den mest sikre hjemmeside kan blive udsat for hændelser (hardwarefejl, ransomware, menneskelige fejl). En solid backup-strategi er dit sidste sikkerhedsnet.
- Følg 3-2-1-reglen: tre kopier af dine data, på to forskellige medietyper, hvoraf én er et andet sted end din server
- Automatisér dine backups, så de sker uden manuel indgriben
- Test regelmæssigt at gendannelse faktisk virker, en backup du ikke kan gendanne fra er ingen backup
- Overvej krypterede backups, særligt hvis de indeholder personoplysninger
Backblaze er en billig og pålidelig løsning til cloud-backup.
Yderligere anbefalinger
- Hold software opdateret: Docker-images, nginx, operativsystem og alle afhængigheder, sårbarheder i forældet software er en af de mest almindelige angrebsvinkler
- Mindste-privilegie-princip: kør containere og processer med de færrest mulige rettigheder, aldrig som root uden grund
- Fail2ban eller CrowdSec: registrerer og blokerer automatisk gentagne login-forsøg og skadelig trafik
- Aldrig commit hemmeligheder til Git: brug
.env-filer og hold dem uden for versionsstyring (.gitignore) - DNSSEC: beskytter dine DNS-opslag mod spoofing og manipulation
- Tvungen HTTPS: omdirigér al HTTP-trafik til HTTPS, ingen ukrypteret trafik bør accepteres
- Begræns admin-adgang: tillad kun SSH/admin-panel-adgang fra specifikke IP-adresser, eller kræv VPN
- 2FA på selve infrastrukturen: aktivér to-faktor-godkendelse på din hosting-, domæne- og Cloudflare-konto, ikke kun på selve hjemmesiden