tag
XSS
2 статей с этим тегом
2026-09-05
Как выбрать заголовки безопасности: что ещё нужно, что устарело и что вредит
Больше заголовков — не значит лучше. Разделите их на три группы: всё ещё работают (CSP, HSTS, X-Frame-Options, nosniff, Referrer-Policy, Permissions-Policy), устарели (Expect-CT в основном устарел с июня 2021 года) и вредят (MDN помечает X-XSS-Protection как устаревший и нестандартный и предупреждает, что он может создавать XSS-уязвимости на безопасных сайтах). Копируя старый список, вы вместе с полезными настройками переносите и вредные.
2026-06-08
Что такое XSS (Cross-Site Scripting): уязвимость, при которой скрипт атакующего выполняется в браузере другого пользователя
XSS заставляет подставленную атакующим строку выполниться «как скрипт» в браузере другого пользователя, что напрямую ведёт к краже сессии и выдаче себя за него. Основная защита — экранирование на выводе. Не отключайте авто-экранирование вашего фреймворка.