Tạo cấu hình Security Headers
Bật/tắt từng header bảo mật, công cụ tạo sẵn cấu hình để dán vào nginx, Apache, Cloudflare hoặc file _headers. Mọi thứ chạy ngay trong trình duyệt, không gửi dữ liệu đi đâu.
Cấu hình của bạn
Chọn nơi cài đặt. Sau khi thêm, tải lại cấu hình máy chủ rồi bấm Kiểm tra lại.
Security headers là gì?
Là các dòng máy chủ gửi kèm mỗi trang để dặn trình duyệt bật thêm lớp bảo vệ: luôn dùng HTTPS, không cho trang bị nhúng lén vào website khác, không đoán sai kiểu file, hạn chế lộ địa chỉ trang. Chúng không thay thế việc vá lỗi nhưng thêm vào rất nhanh.
Hãy thêm từng nhóm, kiểm tra website vẫn chạy bình thường, rồi dùng công cụ kiểm tra Security Headers để xác nhận.
Câu hỏi thường gặp
Thêm security headers có làm hỏng website không?
Phần lớn header (X-Content-Type-Options, Referrer-Policy, X-Frame-Options, Permissions-Policy) hiếm khi gây lỗi. HSTS và Content-Security-Policy cần cẩn thận: HSTS buộc trình duyệt chỉ dùng HTTPS, còn CSP sai có thể chặn script, font hoặc công cụ thống kê. Hãy thử trên môi trường test trước.
Nên đặt max-age của HSTS bao nhiêu?
Bắt đầu với giá trị nhỏ (300 giây) để thử. Khi chắc chắn toàn bộ website chạy tốt qua HTTPS, tăng lên 1 ngày rồi 1 năm (31536000). Chỉ bật preload khi đã dùng 1 năm kèm includeSubDomains.
Vì sao nên dùng Content-Security-Policy-Report-Only trước?
Chế độ Report-Only chỉ báo vi phạm trong Console của trình duyệt mà không chặn gì. Bạn xem trang nào bị ảnh hưởng, bổ sung nguồn còn thiếu, rồi mới chuyển sang Content-Security-Policy để thực thi.
Website WordPress thêm header ở đâu?
Nếu dùng Cloudflare, thêm qua Transform Rules. Nếu hosting chạy Apache, thêm các dòng Header vào file .htaccess ở thư mục gốc. Nếu hosting chạy nginx, nhờ nhà cung cấp hosting thêm hoặc dùng bảng điều khiển của họ.
Kiểm tra toàn bộ bảo mật website miễn phí
Ngoài security headers, WebsiteScanner còn kiểm tra SSL, SPF/DMARC, file nhạy cảm bị lộ, chấm điểm A–F kèm cách sửa.