ARK. 1Słownik pojęćStrony WWW, WordPress i hosting
nagłówki bezpieczeństwa HTTP
Nagłówki odpowiedzi serwera (m.in. Content-Security-Policy, Strict-Transport-Security, X-Frame-Options, X-Content-Type-Options, Referrer-Policy), którymi strona instruuje przeglądarkę, jak ma ograniczyć ryzykowne zachowania.
TAB. 1Nazwapo polsku
| Po angielsku | HTTP security headers |
|---|---|
| Po polsku | nagłówki bezpieczeństwa HTTP |
| Którą formą pisać | po polsku Polska nazwa przyjęła się w tekstach i w wyszukiwarce — używaj jej samodzielnie. |
| Inne formy | nagłówki HTTP związane z bezpieczeństwem · nagłówki odpowiedzi zwiększające bezpieczeństwo |
| Odmiana | ten nagłówek, tego nagłówka, o nagłówku; te nagłówki, tych nagłówków, w nagłówkach. Nazwy własne poszczególnych nagłówków nieodmienne i po angielsku: „nagłówek Referrer-Policy", „w nagłówku Strict-Transport-Security". |
TAB. 2Jak to nazywająprasa vs urząd
| Prasa branżowa | sekurak: „nagłówki, które zwiększają bezpieczeństwo aplikacji", „nagłówki HTTP związane z bezpieczeństwem webowym" (obie formy opisowe; zwartej etykiety „nagłówki bezpieczeństwa HTTP" nie odnotowano) |
|---|---|
| Urząd i ustawa | cert.pl: „nagłówek HTTP, którym serwer informuje przeglądarkę, że z tą domeną wolno łączyć się wyłącznie z wykorzystaniem HTTPS" |
TAB. 3Źródła3
| Forma | Cytat | Skąd |
|---|---|---|
| PL | „W odpowiedziach HTTP można zdefiniować szereg nagłówków, które zwiększają bezpieczeństwo aplikacji…” | sekurak.pl |
| PL | „W kolejnym odcinku opisującym nagłówki HTTP związane z bezpieczeństwem webowym skupimy się na HSTS” | sekurak.pl |
| PL | „nagłówek HTTP, którym serwer informuje przeglądarkę, że z tą domeną wolno łączyć się wyłącznie z wykorzystaniem HTTPS” | wiedza.cert.pl |
TAB. 4Obok w tej dziedzinie6
| mixed content | mixed content | Sytuacja, gdy strona ładowana przez HTTPS pobiera część zasobów (obrazy, skrypty, style, iframe) przez nieszyfrowane HTTP. Przeglądarka pokazuje wtedy przekreśloną lub ostrzegawczą kłódkę, a aktywne elementy blokuje. W WordPressie typowa przyczyna to stare adresy http:// w bazie po przejściu na SSL — naprawia się je wyszukaj-zamień w bazie. |
| ModSecurity | ModSecurity | Otwartoźródłowy WAF działający jako moduł serwera WWW (Apache, Nginx, LiteSpeed), który filtruje żądania HTTP według reguł (np. OWASP Core Rule Set lub reguł hostingu). Na hostingu współdzielonym to on najczęściej stoi za nagłym błędem 403 przy zapisie wpisu w WordPressie — rozwiązaniem jest wyjątek dla konkretnej reguły (ID z logu), a nie wyłączenie ochrony. |
| monitorowanie integralności plików | file integrity monitoring | Porównywanie plików strony z wzorcem — na przykład sumami kontrolnymi oficjalnego wydania WordPressa — w celu wykrycia plików zmodyfikowanych lub dodanych przez napastnika. |
| niezabezpieczony endpoint REST API | REST API abuse | Wykorzystanie publicznie wystawionego endpointu REST API WordPressa lub wtyczki do pobrania danych albo wywołania akcji bez wymaganego uwierzytelnienia i autoryzacji — typowo dlatego, że kod rejestrujący trasę nie sprawdza uprawnień w permission_callback (albo zwraca w nim stałe true). |
| nonce | nonce | Dwa różne znaczenia pod jedną nazwą. (1) Kryptograficzne: wartość użyta tylko raz w danym kontekście (klucz/sesja); jej ponowne użycie łamie bezpieczeństwo szyfru — na tym polegały ataki KRACK i Kr00k. (2) WordPressowe: token powiązany z użytkownikiem, konkretną akcją i ograniczonym czasem życia (domyślnie ważny do ok. 24 godzin), chroniący przed CSRF — mimo nazwy NIE jest jednorazowy, działa wielokrotnie w swoim oknie czasowym i nie zastępuje weryfikacji uprawnień (current_user_can). |
| ochrona przed atakami brute force | brute force protection | Zestaw mechanizmów utrudniających zgadywanie haseł do panelu — limity prób liczone zarówno per konto, jak i per źródło żądania, CAPTCHA, narastające opóźnienia, blokady czasowe oraz drugi składnik logowania. |