HTTPS وترويسات الأمان

ما الذي يحميه HTTPS؟

يغلّف HTTPS بروتوكول HTTP بتشفير TLS، ويضمن ثلاثة أمور:

• السرية: لا يستطيع أحد على الشبكة قراءة البيانات، مثل شبكات Wi-Fi العامة.
• السلامة: لا يستطيع أحد تعديل الصفحة أثناء انتقالها.
• الأصالة: تثبت الشهادة أنك وصلت إلى النطاق الحقيقي.

لكنه لا يثبت أن الموقع موثوق، فمواقع التصيّد لديها شهادات صالحة أيضًا.

الشهادات

• DV (التحقق من النطاق): تثبت السيطرة على النطاق، وهي مجانية وتلقائية، وتكفي لمعظم المواقع.
• OV/EV: تتحقق أيضًا من هوية المؤسسة، عندما تكون هذه الهوية مهمة للعملاء.

تنتهي صلاحية الشهادات، لذلك اجعل تجديدها تلقائيًا.

ترويسات الأمان

الترويسات تعليمات يرسلها الخادم مع كل صفحة، وبعضها يحدث فرقًا كبيرًا:

• Strict-Transport-Security (HSTS): استخدم HTTPS دائمًا لهذا الموقع، حتى لو كتب أحدهم http://.
• Content-Security-Policy (CSP): شغّل السكربتات من مصادر موثوقة فقط، مما يمنع معظم الأكواد المحقونة.
• X-Content-Type-Options: nosniff: لا تخمّن نوع الملف.
• X-Frame-Options: DENY: لا تسمح لمواقع أخرى بتضمين موقعك داخل إطار (يمنع هجمات النقر الخادع).
• Referrer-Policy: يقلل معلومات الروابط التي تتسرب إلى المواقع الأخرى.

افحص موقعك

curl -I https://your-site.com

ابحث عن الترويسات السابقة في الاستجابة. وتقيّمها لك أدوات مجانية مثل securityheaders.com.