Güvenlik alanları: CSP, HSTS, COOP, COEP ve CORP

Kavramı anlayalım

Güvenlik header’larını bir liste halinde yapıştırmak güvenlik mimarisi değildir. CSP script ve diğer kaynak kullanımını sınırlar; nonce/hash ve report-only ile kontrollü geçiş yapılabilir. unsafe-inline gibi geniş izinler etkiyi azaltabilir. X-Content-Type-Options: nosniff medya türü yorumlamasını sınırlar. Referrer-Policy başka yerlere taşınan URL bilgisini etkiler; URL’ye sır koymamak yine gerekir.

HSTS HTTPS kullanma politikasını browser’da oluşturur. includeSubDomains ve preload kararları bütün domain ailesi hazır olmadan geri dönüşü zor etkiler yaratabilir. COOP browsing context ilişkisinin, COEP embed edilen kaynak gereksinimlerinin, CORP kaynağın cross-origin kullanımının sınırlarıyla ilgilidir. Aynı origin, cross-origin ve cross-site terimlerini karıştırma.

Cross-origin isolation bazı özellikler için gerekir ama popup login veya dış medya akışlarını etkileyebilir. Önce mevcut third-party ihtiyaçlarını ve hata raporlarını incele. Header policy response türüne göre farklı olabilir; public dosya ile authenticated sayfa aynı cache/embedding davranışını gerektirmeyebilir. Hiçbiri resource authorization’ı otomatik kurmaz. Kendi browser testlerinde console, network ve gerçek işlevi birlikte doğrula.