Debian Nginx SSL如何配置安全頭信息

在Debian系統上配置Nginx以添加安全頭信息，可以提高網站的安全性。以下是一些常見的安全頭信息及其配置方法：

1. Content-Security-Policy (CSP): CSP可以防止跨站腳本攻擊（XSS）和其他代碼注入攻擊。

   add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscripts.example.com; object-src 'none';";
   

2. X-Content-Type-Options: 防止瀏覽器MIME類型嗅探。

   add_header X-Content-Type-Options "nosniff";
   

3. X-Frame-Options: 防止點擊劫持攻擊。

   add_header X-Frame-Options "SAMEORIGIN";
   

4. Strict-Transport-Security (HSTS): 強制瀏覽器使用HTTPS連接。

   add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
   

5. X-XSS-Protection: 啟用瀏覽器的XSS過濾器（現代瀏覽器已經不再支持這個頭，但仍然可以添加以提高兼容性）。

   add_header X-XSS-Protection "1; mode=block";
   

6. Referrer-Policy: 控制Referer頭的發送。

   add_header Referrer-Policy "no-referrer-when-downgrade";
   

7. Feature-Policy: 控制瀏覽器功能的啟用（類似于CSP，但更細粒度）。

   add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';";
   

8. Permissions-Policy: 控制瀏覽器功能的啟用（類似于Feature-Policy，但更現代）。

   add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()";
   

配置示例

以下是一個完整的Nginx配置示例，包含了上述安全頭信息：

server {
    listen 80;
    server_name example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/ssl/certs/example.com.crt;
    ssl_certificate_key /etc/ssl/private/example.com.key;
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    add_header Content-Security-Policy "default-src 'self'; script-src 'self' https://trustedscripts.example.com; object-src 'none';";
    add_header X-Content-Type-Options "nosniff";
    add_header X-Frame-Options "SAMEORIGIN";
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-XSS-Protection "1; mode=block";
    add_header Referrer-Policy "no-referrer-when-downgrade";
    add_header Feature-Policy "accelerometer 'none'; camera 'none'; geolocation 'none';";
    add_header Permissions-Policy "accelerometer=(), camera=(), geolocation=()";

    root /var/www/html;
    index index.html index.htm;

    location / {
        try_files $uri $uri/ =404;
    }
}

注意事項

1. CSP: CSP頭信息非常強大，配置不當可能會導致網站功能失效。建議先在測試環境中驗證配置。
2. HSTS: 一旦啟用HSTS，瀏覽器會記住這個設置一段時間（由max-age指定），在此期間無法通過HTTP訪問該網站。
3. Feature-Policy 和 Permissions-Policy: 這些頭信息相對較新，可能不被所有瀏覽器支持。建議查閱最新的瀏覽器兼容性表。

通過以上配置，可以顯著提高Nginx服務器的安全性。