Guia completo de Security Headers para aplicações web

Security headers são a primeira linha de defesa da sua aplicação web. Aprenda quais headers configurar, o que cada um faz e como implementar corretamente.

O que são Security Headers

Headers essenciais

Content-Security-Policy (CSP)

O header mais importante. Define quais origens de conteúdo são permitidas na página — scripts, estilos, imagens, fontes, iframes, etc. É a defesa mais eficaz contra XSS.

Content-Security-Policy:
  default-src 'self';
  script-src 'self' https://cdn.example.com;
  style-src 'self' 'unsafe-inline';
  img-src 'self' data: https:;
  connect-src 'self' https://api.example.com;
  font-src 'self' https://fonts.gstatic.com;
  frame-ancestors 'none';
  base-uri 'self';
  form-action 'self';

Strict-Transport-Security (HSTS)

Força o navegador a usar HTTPS exclusivamente, prevenindo ataques de downgrade e interceptação de tráfego.

Strict-Transport-Security: max-age=63072000; includeSubDomains; preload

X-Frame-Options

Previne que sua página seja carregada em iframes, protegendo contra clickjacking.

X-Frame-Options: DENY

X-Content-Type-Options

Impede o navegador de adivinhar o MIME type do conteúdo, evitando ataques de MIME sniffing.

X-Content-Type-Options: nosniff

Referrer-Policy

Controla quais informações de referência são enviadas em requisições. Evita vazamento de URLs internas e tokens em query strings.

Referrer-Policy: strict-origin-when-cross-origin

Permissions-Policy

Controla quais APIs do navegador sua página pode usar (câmera, microfone, geolocalização, etc.). Bloqueia funcionalidades desnecessárias.

Permissions-Policy: camera=(), microphone=(), geolocation=(), payment=()

Como o SAFETAGGY detecta

Como implementar

1. Next.js

// next.config.js
const securityHeaders = [
  { key: 'X-Frame-Options', value: 'DENY' },
  { key: 'X-Content-Type-Options', value: 'nosniff' },
  { key: 'Referrer-Policy', value: 'strict-origin-when-cross-origin' },
  { key: 'Permissions-Policy', value: 'camera=(), microphone=(), geolocation=()' },
  { key: 'Strict-Transport-Security', value: 'max-age=63072000; includeSubDomains; preload' },
  { key: 'Content-Security-Policy', value: "default-src 'self'; script-src 'self'" },
];

module.exports = {
  async headers() {
    return [{ source: '/(.*)', headers: securityHeaders }];
  },
};

2. Nginx

# /etc/nginx/conf.d/security-headers.conf
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "strict-origin-when-cross-origin" always;
add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;
add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
add_header Content-Security-Policy "default-src 'self'; script-src 'self'" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

3. Apache (.htaccess)

<IfModule mod_headers.c>
  Header set X-Frame-Options "DENY"
  Header set X-Content-Type-Options "nosniff"
  Header set Referrer-Policy "strict-origin-when-cross-origin"
  Header set Permissions-Policy "camera=(), microphone=(), geolocation=()"
  Header set Strict-Transport-Security "max-age=63072000; includeSubDomains; preload"
  Header set Content-Security-Policy "default-src 'self'; script-src 'self'"
</IfModule>

Checklist de security headers