Какова лучшая практика в отношении заголовков безопасности для Django settings.py и NGINX?

Ссылаясь на OWASP и лучшие отраслевые практики, какой способ настройки заголовков безопасности является наиболее идеальным?

Вот что я сделал на данный момент: Nginx.conf

add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";
add_header Permissions-Policy "geolocation=(), midi=(), sync-xhr=(), microphone=(), camera=(), magnetometer=(), gyroscope=(), fullscreen=(self), payment=()";
add_header X-Xss-Protection "1; mode=block" always;
add_header X-Content-Type-Options "nosniff" always;

django settings.py

SECURE_REFERRER_POLICY = "strict-origin-when-cross-origin"
CSRF_COOKIE_SECURE = True
CSRF_USE_SESSIONS = True
CSRF_COOKIE_HTTPONLY = True
SESSION_COOKIE_SECURE = True
SESSION_COOKIE_SAMESITE = 'Strict'
#django-csp omitted out

В настоящее время я получаю оценку сервера A+ для этой существующей конфигурации. Однако, я определенно хотел бы узнать больше от тех, кто более опытен в этой области!

Вернуться на верх