如何添加WordPress网站HTTP平安标头

HTTP平安标头目的是为WordPress网站添加分外的平安层。它们可以辅助阻止常见的恶意行为影响网站平安及性能。

在本教程中，我们将详细先容如何在WordPress中添加HTTP平安标头。

什么是HTTP平安标头？

HTTP平安标头是一种平安措施，在影响您的网站之前阻止一些常见的平安威胁。

基本上，当用户接见您的网站时，Web服务器会将HTTP标头响应发送回客户端浏览器。该响应告诉浏览器有关错误代码，缓存控制和其他状态的信息。

正常的标头响应会发出状态为HTTP 200的新闻。往后，用户的浏览器就会加载您的网站内容。然则，若是您的网站泛起问题，则您的网络服务器可能会发送其他HTTP标头。

例如，它可能会发送503服务器不能用错误或400错误代码。

HTTP平安标头是这些标头的子集，用于防止网站遭受常见的威胁，例如点击挟制，跨站点剧本，暴力攻击等。

下面让我们浏览一下常见HTTP平安标头以及它们如何珍爱您的网站。

HTTP严酷传输平安协议（HSTS）

HTTP严酷传输平安（HSTS）标头告诉Web浏览器您的网站使用HTTPS，而且不应使用HTTP这样的不平安协议进行加载。

设置HSTS（HTTP严酷传输平安协议）响应标头，以强制浏览器始终在您的站点上使用HTTPS而不是HTTP。 当浏览器接见您的站点并吸收

Strict-Transport-Security

响应标头时，它告诉浏览器将对所有未来

http://

站点的URL请求转换为

https://

请求。标头可以包罗以下选项：1）

max-age=<seconds>

说明应遵照若干秒的HSTS战略 2）

includeSubDomains

说明将战略应用于所有子域。例如，

Strict-Transport-Security: max-age=31536000; includeSubDomains

告诉浏览器一年内所有子域都使用HTTPS。Warning: 从

max-age

较小值最先直到您确保可以管理站点的HTTPS设置为止。事实若是在通过HTTPS加载页面时遇到问题，在没有解决问题之前用户将无法接见您的网站。

若是您已将WordPress网站从HTTP移至HTTPs，则此平安标头可强制浏览器通过HTTPS加载网站。

X-XSS珍爱

X-XSS Protection标头允许您阻止跨站点剧本加载到WordPress网站上。

X-Frame-Options

X-Frame-Options平安标头可防止跨域iframe或点击挟制。

通过限制将网页嵌入到iframe中来防止点击挟制攻击。 点击挟制攻击者在其控制的网站上的iframe中显示页面。例如，攻击者可能会在iframe上笼罩一个UI层，以诱骗接见者在页面上触发操作以及笼罩表单字段以窃取数据。点击挟制常见用于社交分享链接，点击广告和窃取密码。使用

X-Frame-Options

响应标头来限制主机嵌入页面，从而抵御这些攻击。可能的选项是1）

DENY

限制所有URL 2）

SAMEORIGIN

仅允许来自与页面相同泉源的URL 3）

ALLOW-FROM

允许来自特定泉源。例如，

X-Frame-Options: DENY

将阻止所有iframe使用。您应该使用尽可能严酷的设置。

X-Content-Type-Options

X-Content-Type-Options阻止内容mime类型的嗅探。

为WordPress添加HTTP平安标头

在网络服务器级别设置，HTTP平安标头事情效果最佳。这使它们可以在典型的HTTP请求中尽早触发，并提供最大的收益。

若是您使用的是DNS级其余网站应用程序防火墙（如Sucuri或Cloudflare），它们甚至会更好。下面我们将先容每种方式，您可以选择最适合自己的一种。

使用Sucuri添加HTTP平安标头
使用Cloudflare添加HTTP平安标头
使用.htaccess添加HTTP平安标头
使用WordPress插件添加HTTP平安标头
测试HTTP平安标头

1.使用Sucuri添加HTTP平安标头

Sucuri是市场上最好的WordPress平安插件。若是您还使用他们的网站防火墙服务，则可以设置HTTP平安标头，而无需编写任何代码。

首先，您需要注册一个Sucuri帐户。它是一项付费服务，带有服务器级网站防火墙，平安插件，CDN和恶意软件祛除保证。

在注册历程中，您需回覆简朴的问题，Sucuri文档将辅助您在网站上设置网站应用程序防火墙。

注册后，您需要安装并启用免费的Sucuri插件。

启用后，转到Sucuri Security » Firewall (WAF)页面，然后输入防火墙API密钥，您可以在Sucuri网站帐户下找到此信息。

接下来，切换到Sucuri帐户仪表盘。在此处，单击顶部的“Settings”菜单，然后切换到“Security”选项卡。

在这里，您可以选择三种规则。默认珍爱为HSTS和HSTS Full。您将看到哪些HTTP平安标头将应用于每组规则。

选择你需要的平安规则，点击“Save Changes in The Additional Headers”按钮以应用更改。

Sucuri现在将在WordPress中添加您选择的HTTP平安标头。由于它是DNS级其余WAF，因此在黑客到达您的网站之前，也可以珍爱您的网站流量免受黑客的攻击。

使用Workers自界说CDN缓存战略取代Cloudflare Page Rule

2.使用Cloudflare添加HTTP平安标头

Cloudflare提供了基本的免费网站防火墙和CDN服务。它的免费套餐中缺少高级平安功效，需要升级到价钱更高的专业设计才可以实现高级别网站防护。

要在您的网站上添加Cloudflare，请参阅有关如何在WordPress中添加Cloudflare免费CDN的教程。

一旦Cloudflare在您的网站上处于流动状态，请转到Cloudflare帐户信息中央下的SSL/TLS页面，然后切换到“Edge Certificates”选项卡。

现在，向下转动到“HTTP Strict Transport Security (HSTS) ”部门，然后单击“Enable HSTS”按钮。

这将弹出一个弹出窗口，其中包罗说明，告诉您在使用此功效之前必须在WordPress博客上启用HTTPS 。单击下一步按钮继续，您将看到添加HTTP平安标头的选项。

在这里，您可以启用HSTS，no-sniff标头，将HSTS应用于子域（若是它们使用的是HTTPS）并预加载HSTS。

此方式使用HTTP平安标头提供基本珍爱。然则，它不允许您添加X-Frame-Options，而且Cloudflare没有用户界面可以执行此操作。

您仍然可以通过使用Workers功效确定脚原本做到这一点。然则，确定HTTPS平安标头剧本可能会给初学者带来意外的问题，一样平常不推荐这样做。

3.使用.htaccess添加HTTP平安标头

此方式允许您在服务器级别为WordPress网站设置HTTP平安标头。

它要求您编辑网站上的.htaccess文件（找不到htaccess?）。它是最常用的Apache Web服务器软件使用的服务器设置文件。

只需使用FTP客户端或托管服务器控制面板中的文件管理器应用程序毗邻到您的网站。在网站的根文件夹中，找到.htaccess文件并进行编辑。

在文件底部，您可以添加代码以将HTTPS平安标头添加到WordPress网站。

您可以参考以下示例代码，这是最常用也是最佳的HTTPs平安标头设置：

<ifModule mod_headers.c> 
Header set Strict-Transport-Security "max-age=31536000" 
env=HTTPS 
Header set X-XSS-Protection "1; mode=block" 
Header set X-Content-Type-Options nosniff 
Header set X-Frame-Options DENY 
Header set Referrer-Policy: no-referrer-when-downgrade 
</ifModule>

不要遗忘保留更改并接见网站，以确保一切正常。