Smarter by Design.Simpler for Business
TR7Enterprise Application Delivery & Security Platform
Güvenlik header'larını (CSP, HSTS, X-Frame-Options) backend'e dokunmadan ekleyebilir miyim?
Kısa cevap
Evet. Manage HTTP Security Headers aksiyonunda Response Headers listesinden Content-Security-Policy, Strict-Transport-Security (HSTS), X-Frame-Options, X-XSS-Protection, X-Content-Type-Options, Referrer-Policy ve Permissions-Policy seçilir; başlıklar hazır değerleriyle Kurum Servisinden dönen bütün yanıtlara eklenir. Hazır değer uygulamaya uymuyorsa (ör. dış CDN kullanan bir CSP) başlık On Response aşamasında Set HTTP Header ile özel değerle yazılır. HSTS, TLS Security Profile üzerinden de verilebilir.
Sorun: Güvenlik Başlıkları Eksik, Uygulamaya Dokunulamıyor
Güvenlik taramaları ve denetimler CSP, HSTS ve X-Frame-Options gibi başlıkların eksik olduğunu raporlar; uygulamayı değiştirmek her zaman mümkün ya da hızlı değildir. Başlıklar yanıt TR7'den geçerken, Kurum Servisine dokunmadan eklenir.
Çözüm: Dört Yöntem
Yöntemler HTTP vService'te çalışır ve birlikte kullanılabilir: hazır değeri uygun başlıklar Yöntem 1 ile, özel değer gerekenler Yöntem 2 ile eklenir.
| Durumunuz | Uygun yöntem |
|---|---|
| Hazır değerlerle hızlı kurulum | Yöntem 1: Manage HTTP Security Headers |
| Uygulamaya özel değer; Kurum Servisi aynı başlığı gönderse de tek başlık kalsın | Yöntem 2: Set HTTP Header (On response) |
| Kurum Servisi aynı başlığı hiç göndermiyor | Yöntem 3: Add HTTP Header (On response) |
| Yalnızca HSTS; süre ve alt alan adı ayarlı | Yöntem 4: TLS Security Profile → HSTS |
Yöntem 1: Manage HTTP Security Headers Önerilen
- Nasıl çalışır Seçilen başlıklar hazır değerleriyle bütün yanıtlara eklenir; değerler düzenlenemez, aksiyon koşul almaz.
- Nerede açılırLoad Balancer → Actions → Manage HTTP Security Headers → Response Headers
- Gereksinim En az bir seçim; hazır CSP'nin uygulamayla uyumu önceden denenir
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Aksiyon formunu aç
Load Balancer → Actions → Add tıklanır (nasıl eklenir).
2
Adım 2 Aksiyon adını ve tipini gir
Action Name girilir, Action Type = Manage HTTP Security Headers seçilir.
3
Adım 3 Başlıkları işaretle
Response Headers listesinden başlıklar işaretlenir. Seçenek etiketleri değerleri de gösterir:
| Seçenek | Yazılan değer | Kurum Servisi aynı başlığı gönderiyorsa |
|---|---|---|
| Content-Security-Policy | default-src 'self'; | Yerine geçer |
| Strict-Transport-Security (HSTS) | max-age=16000000; includeSubDomains; preload; (yalnızca HTTPS yanıtlarında) | Yerine geçer |
| X-Frame-Options | SAMEORIGIN | Yerine geçer |
| X-XSS-Protection | 1; mode=block | İkinci kopya eklenir |
| X-Content-Type-Options | nosniff | İkinci kopya eklenir |
| Referrer-Policy | no-referrer-when-downgrade | Yerine geçer |
| Permissions-Policy | interest-cohort=(); (Permission-Policy adıyla yazılır) | Kurum Servisinin Permissions-Policy başlığı değişmez; yanına ayrı başlık eklenir |
Konum, kamera gibi izinleri kısıtlayan bir Permissions-Policy gerekiyorsa başlık Yöntem 2 ile yazılır.
4
Adım 4 Aksiyonu kaydet
Add tıklanır.
5
Adım 5 vService'i düzenle
Load Balancer → Load Balancer vService List ekranında HTTP vService seçilip Edit tıklanır.
7
Adım 7 Kaydet
Save tıklanır. Değişiklik açık bağlantılar kopmadan uygulanır; cluster'da varsayılan auto-sync ile eş cihaza da gönderilir (Manual Sync Mode açıksa Synchronize ile).
Doğrulama
1Yanıtİstemci tarafı
curl -skI https://www.example.com/
Beklenen
Seçilen başlıklar tabloda yazılan değerlerle görünür2Tarayıcıİstemci tarafı
Tarayıcının geliştirici araçlarında Console sekmesine bakılır; CSP'nin engellediği kaynaklar burada listelenir.
Beklenen
CSP ihlali yok; sayfa bozulmadan yükleniyorYöntem 2: Set HTTP Header (On Response)
- Nasıl çalışır Başlık istenen değerle yazılır; Kurum Servisi aynı başlığı gönderse de tek başlık kalır.
- Nerede açılırLoad Balancer → Actions → Set HTTP Header
- Gereksinim Her başlık için ayrı aksiyon
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Aksiyon formunu aç
Load Balancer → Actions → Add tıklanır.
2
Adım 2 Aksiyon tipini seç
Action Type = Set HTTP Header seçilir.
3
Adım 3 Başlığı yaz
Execution Level = On response (kayıttan sonra değiştirilemez); Header to Edit = Content-Security-Policy; Header Content = default-src 'self'; script-src 'self' https://cdn.example.com.
4
Adım 4 Aksiyonu kaydet
Add tıklanır; her başlık için 1–4. adımlar tekrarlanır (ör. Permissions-Policy = camera=(), microphone=(), geolocation=()).
5
Adım 5 vService'i düzenle
vService Edit ile açılır.
6
Adım 6 Aksiyonları Actions alanına ekle
Details → Actions alanında aksiyonlar seçilir.
7
Adım 7 Kaydet
Save tıklanır. Aynı başlık Yöntem 1'de de seçiliyse listede sonra gelen aksiyonun değeri kalır.
Doğrulama
1Yanıtİstemci tarafı
curl -skI https://www.example.com/ | grep -i '^content-security-policy'
Beklenen
Tek satır, özel değerYöntem 3: Add HTTP Header (On Response)
- Nasıl çalışır Başlık yanıta eklenir; Kurum Servisi aynı başlığı gönderiyorsa ikinci bir kopya oluşur.
- Nerede açılırLoad Balancer → Actions → Add HTTP Header
- Gereksinim Kurum Servisi aynı başlığı göndermiyor
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Aksiyon formunu aç
Load Balancer → Actions → Add tıklanır.
2
Adım 2 Aksiyon tipini seç
Action Type = Add HTTP Header seçilir.
3
Adım 3 Başlığı yaz
Execution Level = On response; Header to Add = Cross-Origin-Opener-Policy, Header Content = same-origin (bankacılık uygulaması senaryosu).
4
Adım 4 Aksiyonu kaydet
Add tıklanır.
5
Adım 5 vService'i düzenle
vService Edit ile açılır.
6
Adım 6 Aksiyonu Actions alanına ekle
Details → Actions alanında aksiyon seçilir.
7
Adım 7 Kaydet
Save tıklanır.
Doğrulama
1Yanıtİstemci tarafı
curl -skI https://www.example.com/ | grep -i '^cross-origin-opener-policy'
Beklenen
Başlık tek kez görünürYöntem 4: TLS Security Profile → HSTS
- Nasıl çalışır HSTS başlığı vService'e atanan TLS güvenlik profilinden eklenir; süre, alt alan adları ve preload ayrı ayrı seçilir. Aynı vService'te Manage HTTP Security Headers'ın HSTS seçeneği de açıksa aksiyonun değeri geçerli olur.
- Nerede açılırCertificates & PKI → TLS Security Profiles → Frontend-only Settings → HSTS
- Gereksinim vService'te şifreli (HTTPS) frontend satırı ve SSL Security modülü
- vService tipi HTTP
Adım adım yapılandırma
1
Adım 1 Profil formunu aç
Certificates & PKI → TLS Security Profiles → Add tıklanır (mevcut bir profil için Edit) (nasıl eklenir).
2
Adım 2 HSTS'i aç
Frontend-only Settings bölümünde HSTS (Strict-Transport-Security header) (varsayılan kapalı) açılır; HSTS Duration (max-age) (varsayılan 180 gün) ve Include Subdomains (includeSubDomains) (varsayılan kapalı) ayarlanır. Ayrıntı: HSTS'i nasıl eklerim?
3
Adım 3 Profili kaydet
Yeni profilde Add, mevcut profil düzenlendiyse Edit tıklanır.
4
Adım 4 vService'i düzenle
vService Edit ile açılır.
5
Adım 5 Profili vService'e ata
Details → SSL Security modülünde profil seçilir.
6
Adım 6 Kaydet
Save tıklanır.
Doğrulama
1Yanıtİstemci tarafı
curl -skI https://www.example.com/ | grep -i '^strict-transport-security'
Beklenen
Strict-Transport-Security: max-age=…Sık Yapılan Hatalar
- Hazır CSP değerini denemeden açmak.
default-src 'self'dış CDN'leri, yazı tiplerini ve satır içi script'leri engelleyebilir; önce test ortamında denenir ya da Set HTTP Header ile uygun değer yazılır. - HSTS'in HTTP yanıtlarında da gönderileceğini sanmak. HSTS yalnızca HTTPS yanıtlarına eklenir; tarayıcı da yalnızca HTTPS üzerinden aldığı HSTS başlığını dikkate alır.
- Add ile çift başlık oluşturmak. Kurum Servisi başlığı zaten gönderiyorsa Add HTTP Header (ve Manage HTTP Security Headers'taki X-XSS-Protection, X-Content-Type-Options seçenekleri) ikinci bir kopya ekler; Set HTTP Header kullanılır.
- TR7'nin kendi ürettiği sayfalarda başlık beklemek. Başlıklar Kurum Servisinden dönen yanıtlara eklenir; TR7'nin ürettiği engelleme, yönlendirme ve hata sayfalarına eklenmez.
- SSL Labs puanıyla karıştırmak. Başlıklar ve TLS ayarlarının birlikte ele alınması için: SSL Labs'ten A+ almak için neler yapmalıyım?
Dokümantasyonda nasıl yapılır
