aspnetcore security headers

ASP.net Core Security заголовки безопасности

Использование

Установите пакет AdamBarclay.AspNetCore.SecurityHeaders Nuget.

    Install-Package AdamBarclay.AspNetCore.SecurityHeaders

Чтобы включить промежуточное программное обеспечение заголовков безопасности в трубопровод ASP.NET, во время конфигурации приложения включают:

    using AdamBarclay . AspNetCore . SecurityHeaders ;

и позвоните:

    app . UseSecurityHeaders ( ) 

По умолчанию

Вызов app.UseSecurityHeaders() устойчив к вызову:

    app . UseSecurityHeaders (
        c =>
        {
            c . ContentSecurityPolicy ( o =>
            {
                o . ConfigureDefault ( ) . Self ( ) ;
                o . ConfigureObject ( ) . None ( ) ;
                o . ConfigureDirective ( "frame-ancestors" ) . None ( ) ;
            } ) ;

            c . FrameOptions ( o => o . Deny ( ) ) ;

            c . ReferrerPolicy ( o => o . StrictOriginWhenCrossOrigin ( ) ) ;

            c . StrictTransportSecurity ( o => o . MaxAge ( TimeSpan . FromDays ( 365 ) ) . IncludeSubdomains ( ) ) ;
        } ) ;

По умолчанию все заголовки безопасности включены. Чтобы отключить любой из заголовков, Call Disable() на конфигурации этого заголовка.

    app . UseSecurityHeaders (
        c =>
        {
            c . ContentSecurityPolicy ( o => o . Disable ( ) ) ;
            c . ContentTypeOptions ( o => o . Disable ( ) ) ;
            c . FrameOptions ( o => o . Disable ( ) ) ;
            c . ReferrerPolicy ( o => o . Disable ( ) ) ;
            c . StrictTransportSecurity ( o => o . Disable ( ) ) ;
        } ) ; 

Заголовки

Политика безопасности контента (политика контента)

Значение по умолчанию для content-security-policy -это default-src 'self';frame-ancestors 'none';object-src 'none' .

Параметры типа контента (x-content-type-options)

Значение по умолчанию для x-content-type-options nosniff .

Никакие другие значения не могут быть настроены.

Параметры кадра (x-frame-options)

Значение по умолчанию для x-frame-options deny .

Используйте строитель конфигурации FrameOptions() для настройки значения.

Call Deny() чтобы установить значение deny .

    app . UseSecurityHeaders ( c => c . FrameOptions ( o => o . Deny ( ) ) ) ;

Вызовите SameOrigin() , чтобы установить значение sameorigin .

    app . UseSecurityHeaders ( c => c . FrameOptions ( o => o . SameOrigin ( ) ) ) ;

Политика рефералов (реферальная политика)

Значение по умолчанию для referrer-policy - strict-origin-when-cross-origin .

Строгая транспортная безопасность (строгое транспорт-безопасность)

Значение по умолчанию для strict-transport-security - max-age=31536000;includeSubdomains .