# Security Header do shuíomhanna gréasáin: ceanntásca slándála a shocrú i gceart

> Security Header do shuíomhanna gréasáin: CSP, HSTS, X-Content-Type-Options agus tuilleadh le samplaí Nginx agus Apache, móide seiceáil agus earráidí.

Foinse: https://phpsos.de/ga/ratgeber/sicherheits-header/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Is treoracha iad Security Header ón bhfreastalaí gréasáin chuig an mbrabhsálaí a chosnaíonn cuairteoirí ar ionsaithe ar nós Cross-Site Scripting, Clickjacking agus naisc neamhchriptithe. Is iad na cinn is tábhachtaí HSTS, Content-Security-Policy, X-Content-Type-Options, cosaint in aghaidh frámaí coimhthíocha, Referrer-Policy agus Permissions-Policy. Is cruatú ciallmhar iad, ach ní chuireann siad nuashonruithe ar an bhfreastalaí ina n-ionad.

## An rud a dhéanann Security Header agus an rud nach ndéanann

Le gach leathanach a ghlaoitear, seolann an freastalaí gréasáin ceanntásca in éineacht leis an inneachar. Rialaíonn cuid acu feidhmeanna slándála an bhrabhsálaí. Leis sin is féidir a shocrú, mar shampla, nach luchtaítear leathanach ach trí HTTPS nó nach rithfidh an brabhsálaí scripteanna ó fhearainn choimhthíocha.

Do oibreoirí tá an t-aicmiú tábhachtach: cosnaíonn ceanntásca na cuairteoirí den chuid is mó, mar shampla ar sheisiúin a ghabháil nó ar fhoirmeacha ionramháilte. Ní dhúnann siad bearnaí ar an bhfreastalaí. Fanann laige i PHP, sa CMS nó in eisínteacht beag beann ar cé chomh maith agus atá na ceanntásca socraithe. I gcomhar le cód glan, teorannaíonn siad iarmhairtí a lán earráidí go suntasach, áfach.

## Na Security Header is tábhachtaí i bhfoirm achoimre

| Ceanntásc | Cuspóir | Moladh mar phointe tosaigh |
|---|---|---|
| Strict-Transport-Security (HSTS) | cuireann iallach HTTPS ar ghlaonna amach anseo | `max-age=31536000; includeSubDomains` |
| Content-Security-Policy (CSP) | socraíonn foinsí ceadaithe do scripteanna, íomhánna, frámaí | go hindibhidiúil, ar dtús mar Report-Only |
| X-Content-Type-Options | cuireann cosc ar an mbrabhsálaí cineálacha comhad a thomhas | `nosniff` |
| X-Frame-Options nó CSP frame-ancestors | cuireann cosc ar leabú i suíomhanna coimhthíocha (Clickjacking) | `SAMEORIGIN` nó `frame-ancestors 'self'` |
| Referrer-Policy | teorannaíonn cén seoladh a tharchuirtear chuig suíomhanna eile | `strict-origin-when-cross-origin` |
| Permissions-Policy | múchann feidhmeanna brabhsálaí ar nós ceamara nó suímh | ná ceadaigh ach na feidhmeanna a theastaíonn |

Ba cheart duit HSTS a shocrú ach amháin nuair atá gach fofhearann inrochtana go hiontaofa trí HTTPS. Cuimhníonn an brabhsálaí ar an treoir ar feadh na tréimhse sonraithe; ní féidir earráid a chur ar ais láithreach ansin. Tosaigh más gá le tréimhse ghearr agus méadaigh í tar éis tástálacha rathúla. Cuireann an rogha bhreise `preload` an fearann isteach go buan i liostaí monaróirí brabhsálaí agus níor cheart é a shocrú ach amháin tar éis seiceála cúramaí.

Ní hiad ceanntásca an t-aon áit a thairgeann an brabhsálaí cosaint. Ba cheart tréithe `Secure`, `HttpOnly` agus `SameSite` a bheith ar fhianáin, ionas nach ngabhtar seisiúin trí naisc neamhchriptithe ná scripteanna. Conas é sin a shocrú i PHP, déanann an treoir faoi sheisiúin cur síos air.

## Security Header a shocrú in Nginx

In Nginx baineann na ceanntásca leis an mbloc `server` den suíomh ábhartha. Cinntíonn an breisiú `always` go seoltar iad ar leathanaigh earráide freisin.

```nginx
server {
    # ...
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "SAMEORIGIN" always;
    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
    add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
    add_header Content-Security-Policy-Report-Only "default-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self'; frame-ancestors 'self'; form-action 'self'" always;

    server_tokens off;
}
```

Saintréith de chuid Nginx: má shocraíonn bloc `location` treoracha `add_header` dá chuid féin, ní ghlactar leis na ceanntásca ón mbloc `server` ansin. Seiceáil fo-leathanaigh agus comhaid statacha dá bhrí sin. Déanann [Nginx le PHP-FPM a chosaint](https://phpsos.de/ga/server/nginx-php-fpm/) cur síos ar chruatú breise don teaglaim seo.

## Security Header a shocrú in Apache

Faoi Apache teastaíonn an modúl `mod_headers` uait. Baineann na treoracha leis an VirtualHost nó, mura bhfuil rochtain air, leis an `.htaccess`.

```apache
<IfModule mod_headers.c>
    Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
    Header always set X-Content-Type-Options "nosniff"
    Header always set X-Frame-Options "SAMEORIGIN"
    Header always set Referrer-Policy "strict-origin-when-cross-origin"
    Header always set Permissions-Policy "camera=(), microphone=(), geolocation=()"
    Header always set Content-Security-Policy-Report-Only "default-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'self'"
</IfModule>

ServerTokens Prod
ServerSignature Off
```

Baineann `ServerTokens` agus `ServerSignature` leis an bpríomhchumraíocht. Cuireann siad cosc ar an bhfreastalaí a fhíorleagan a ainmniú i bhfreagraí agus ar leathanaigh earráide. I `php.ini` baineann tú an toradh céanna amach do PHP le `expose_php = Off`.

## Content-Security-Policy a thabhairt isteach céim ar chéim

Is í an Content-Security-Policy an ceanntásc is éifeachtaí, ach is é an ceann is éilithí freisin. Socraíonn sí as cé na foinsí a fhéadfar scripteanna, bileoga stíle, íomhánna, clófhoirne agus frámaí a luchtú. Má luchtaítear script a cuireadh isteach ó fhearann coimhthíoch, cuireann an brabhsálaí bac air.

Is minic a chomhtháthaíonn suíomhanna gréasáin nua-aimseartha uirlisí anailíse, soláthraithe íocaíochta, seirbhísí léarscáile nó físeáin. Cuireann beartas róchrua feidhmeanna as feidhm ansin. Téigh ar aghaidh i gcéimeanna dá bhrí sin:

- Tosaigh ar dtús le `Content-Security-Policy-Report-Only`. Tuairiscíonn an brabhsálaí sáruithe sa chonsól forbróra nó chuig seoladh bailithe, ach ní chuireann sé bac ar rud ar bith.
- Gach foinse is gá a thaifeadadh agus a cheadú go sonrach, seachas ionadchoimeádáin ginearálta a úsáid.
- Scripteanna inlíne a aistriú céim ar chéim go comhaid nó nonces a chur leo, ionas gur féidir `'unsafe-inline'` a sheachaint.
- Ach tar éis céim tástála gan tuarascálacha gan choinne, athraigh go `Content-Security-Policy`.

> **Leid:**
> Comhlánaíonn an CSP escaping glan sa chód, ach ní chuireann sé ina áit é. Conas aschuir a chosaint i gceart i PHP, tá sé sa treoir [Cross-Site Scripting i PHP a chosc](https://phpsos.de/ga/ratgeber/xss-php/).

## Ceanntásca a sheiceáil agus earráidí tipiciúla a sheachaint

Tar éis gach athraithe ba cheart duit a sheiceáil an sroicheann na ceanntásca i ndáiríre. Is féidir sin gan uirlisí breise le `curl`:

```bash
# Cumraíocht a thástáil agus athlódáil
nginx -t && systemctl reload nginx

# Ceanntásca an leathanaigh tosaigh agus comhaid statach a thaispeáint
curl -sI https://www.example.de/ | grep -iE 'strict|content-security|x-content|x-frame|referrer|permissions|server'
curl -sI https://www.example.de/favicon.ico | grep -iE 'strict|x-content'
```

Is earráidí tipiciúla ceanntásca socraithe faoi dhó nuair a sheolann freastalaí gréasáin agus feidhmchlár na ceanntásca céanna, CDN roimhe a bhaineann nó a fhorscríobhann ceanntásca, agus ceanntásca nach bhfeictear ach ar an leathanach tosaigh ach ní ag atreoruithe ná ar leathanaigh earráide. Seiceáil freisin tar éis nuashonruithe an CMS nó eisínteachtaí slándála an bhfuil na ceanntásca athraithe.

Socraigh aon áit amháin dá bhrí sin ina gcothabháiltear na ceanntásca, is fearr an freastalaí gréasáin nó an tseirbhís roimhe. Tairgeann a lán eisínteachtaí CMS socruithe do cheanntásca slándála freisin. Tá sin áisiúil, ach is éasca sonraí dúbailte nó contrártha a fháil mura socraíonn an freastalaí ceanntásca ina theannta sin. Do thástálacha aonair tá uirlisí forbróra an bhrabhsálaí oiriúnach freisin: sa chluaisín líonra feiceann tú na ceanntásca freagra do gach iarratas, agus taispeánann an consól sáruithe ar an Content-Security-Policy.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Seiceálaimid ceanntásca reatha do shuíomhanna gréasáin go léir, taobh thiar de CDN agus próicsaí san áireamh, agus léirímid bearnaí agus contrárthachtaí.
- Socraímid na ceanntásca go lárnach san fhreastalaí gréasáin mar chuid den [chruatú freastalaí](https://phpsos.de/ga/leistungen/server-haertung/) agus tástálaimid an leathanach tosaigh, fo-leathanaigh agus leathanaigh earráide.
- Tugaimid isteach an Content-Security-Policy sa mhód Report-Only, measaimid na tuarascálacha agus cuirimid i bhfeidhm iad tar éis comhordaithe.
- Nuair nach bhfuil athruithe cóid indéanta láithreach, comhlánaímid an chosaint le [rialacha WAF agus paistiú fíorúil](https://phpsos.de/ga/leistungen/waf-virtuelles-patching/).


## Ceisteanna coitianta

**Cad iad Security Header?**  
Is eolas breise iad Security Header i bhfreagra an fhreastalaí gréasáin. Insíonn siad don bhrabhsálaí, mar shampla, gan an leathanach a luchtú ach trí HTTPS, gan scripteanna coimhthíocha a rith nó gan an leathanach a thaispeáint i bhfrámaí coimhthíocha. Cosnaíonn siad na cuairteoirí den chuid is mó.

**An gcosnaíonn Security Header in aghaidh PHP2Shell?**  
Ní chosnaíonn. Is bearna i PHP ar an bhfreastalaí é PHP2Shell, oibríonn ceanntásca i mbrabhsálaí an chuairteora. In aghaidh PHP2Shell cabhraíonn an nuashonrú go leagan ceartaithe PHP agus atosú gach oibrí. Is cruatú comhlántach iad ceanntásca do chineálacha eile ionsaithe.

**An féidir le Content-Security-Policy mo shuíomh gréasáin a bhriseadh?**  
Is féidir, cuireann beartas róchrua scripteanna, clófhoirne nó inneachar leabaithe riachtanach faoi bhac. Dá bhrí sin tugtar isteach ar dtús sa mhód Report-Only é, déantar na tuarascálacha a mheas agus ansin amháin athraítear go forfheidhmiú.

**An bhfuil X-XSS-Protection ciallmhar fós?**  
Níl. Ní mheasann brabhsálaithe reatha an ceanntásc seo a thuilleadh, agus is é an moladh é a fhágáil ar lár nó é a shocrú ar 0. Tugann escaping glan sa chód agus Content-Security-Policy cosaint in aghaidh Cross-Site Scripting.

## Foinsí

- [OWASP Cheat Sheet Series (HTTP Headers)](https://cheatsheetseries.owasp.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [BSI: moltaí do fhreastalaithe gréasáin](https://www.bsi.bund.de/)