Náš web nemá bezpečnostní hlavičky · jak vážné to je?

Co konkrétně chybějící hlavičky umožňují útočníkům

Bezpečnostní hlavičky jsou pokyny, které server posílá prohlížeči společně s HTML stránkou. Určují, odkud smí načítat skripty, zda stránka může běžet v rámu a zda vyžaduje šifrované spojení. Když chybí, prohlížeč používá výchozí tolerantní nastavení, které útočníkům dává volnou ruku. Nejzávažnější je absence Content‑Security‑Policy (CSP), která bez omezení povoluje spuštění jakéhokoli JavaScriptu v kontextu domény. To otevírá cestu k útokům Cross‑Site Scripting (XSS), kdy se do stránky vstrčí cizí kód kráducí přihlašovací údaje nebo platební karty. Chybějící Strict‑Transport‑Security (HSTS) dovoluje útočníkovi v místní síti přepnout uživatele na nezabezpečené HTTP a odposlouchávat komunikaci. Bez X‑Frame‑Options nebo direktivy frame‑ancestors v CSP lze web vložit do neviditelného rámu na podvodné stránce a donutit návštěvníka kliknout na tlačítko, které provede nechtěnou akci · tzv. clickjacking.

Jak to vypadá v praxi: výsledky analýzy advokátních webů

V auditech CIAD se ukazuje, že i weby zpracovávající citlivá data často ignorují základní ochrany. Při kontrole 239 advokátních webů v českém prostředí chyběla hlavička Content‑Security‑Policy u většiny z nich, HSTS nebyla nastavena u přibližně třetiny a X‑Frame‑Options chyběla u více než poloviny. Advokátní kanceláře zpracovávají důvěrnou korespondenci, smlouvy a osobní údaje klientů, což je pro útočníky atraktivní cíl. Konkrétní riziko: pokud redakční systém má zranitelnost typu XSS a CSP chybí, útočník může vložit skript, který přečte obsah e‑mailové schránky v webovém klientu nebo přesměruje klienta na falešnou platební bránu. I malá kancelář s jedním webem bez hlaviček se stává snadným cílem automatizovaných skenerů, které hledají právě tato chybějící nastavení.

Jak chybějící hlavičky nasadit a ověřit

Implementace probíhá na úrovni webového serveru nebo aplikační vrstvy a nevyžaduje změny v kódu stránek. Postup pro Apache nebo Nginx:

1. Přidejte do konfigurace virtuálního hosta hlavičku Content‑Security‑Policy s restriktivní politikou, například default‑src 'self'; script‑src 'self' https://cdn.dovereny.cz; style‑src 'self' 'unsafe‑inline'; frame‑ancestors 'none';. Začněte v režimu Content‑Security‑Policy‑Report‑Only, abyste zachytili chyby bez rozbití webu.
2. Nastavte Strict‑Transport‑Security s hodnotou max‑age=31536000; includeSubDomains; preload po ověření, že všechny subdomény fungují na HTTPS.
3. Přidejte X‑Frame‑Options: DENY nebo SAMEORIGIN pro starší prohlížeče, moderní CSP direktiva frame‑ancestors je priorita.
4. Doplňte X‑Content‑Type‑Options: nosniff a Referrer‑Policy: strict‑origin‑when‑cross‑origin.
5. Otestujte nasazení nástrojem securityheaders.com nebo observatory.mozilla.org a ověřte funkčnost formulářů, platebních bran a externích widgetů.

Údržba a sledování v čase

Jednorázové nasazení nestačí. Každá změna webu · nový analytický skript, chatbot, marketingový pixel · může CSP porušit. Nastavte monitoring hlášení porušení CSP (direktiva report‑uri nebo report‑to) na e‑mail nebo do systému logování. Pravidelně, alespoň jednou za kvartál, spusťte automatizovaný sken bezpečnostních hlaviček v CI/CD pipeline. Sledujte vydání nových direktiv, například Permissions‑Policy pro omezení přístupu k kamere, mikrofonu nebo geolokaci. Dokumentujte povolené domény v interní wiki, aby vývojáři věděli, kam smí přidávat zdroje, a bezpečnostní tým má přehled o rizikové ploše.

Co to znamená: Chybějící bezpečnostní hlavičky nejsou kosmetický nedostatek, ale přímá zranitelnost, kterou automatizovaní útočníci využívají masově. Nasazení základních pěti hlaviček zabere zkušenému administrátovi jeden odpoledne a okamžitě zvedne úroveň ochrany dat klientů i reputace firmy.