HTTP 安全性 Headers

HTTP Strict-Transportation-Security (HSTS)
伺服器告知瀏覽器必須使用HTTPS協定進行連線。

相關設定
Strict-Transport-Security: max-age=31536000; includeSubDomains
max-age：單位是秒
includeSubDomains：這個網站及子網域

Content-Security-Policy (CSP)
限制瀏覽器載入資源來源，避免XSS攻擊。

相關設定
Content-Security-Policy: script-src 'self'
script-src：限制可以載入JavaScript資源的地方
self：代表瀏覽器只能從當前的網域載入JavaScript

網頁中設定
在 http header 加入 Content-Security-Policy-Report-Only: {Policy} 
當有不符合安全政策的情況時，瀏覽器會提報錯誤，但該行為不會終止。

X-Frame-Options (XFO)
防止當前的頁面被嵌入另一個網站 HTML的iframe 中

相關設定
X-Frame-Options: DENY
X-Frame-Options: SAMEORIGIN
X-Frame-Options: ALLOW-FROM 

Debain 12 Apache2 設定
a2enmod headers
編輯  /etc/apache2/sites-available/default-ssl.conf 加入
Header always set Strict-Transport-Security "max-age=63072000; includeSubdomains; preload"

檢查
使用 chrome瀏覽器的開發者選項-Network-Headers，判斷是否已經開啟HSTS
根據HSTS的配置，查看 Strict-Transport-Security 配置值