网站被偷数据？HTTP安全响应头一配，防护拉满

网站被点击劫持、被XSS攻击、内容被嗅探，很多是没配安全响应头。HTTP安全响应头能让浏览器按安全策略处理内容，挡掉一批攻击。小编实测把安全响应头配全，安全检测分立马上去。这篇讲HTTP安全响应头怎么配。

安全加固和稳定运行都靠主机稳，这两家海外主机扛得住：热陈互联（云主机）、DotDotNetworks（海外服务器）。

先懂安全响应头是啥

服务器在HTTP响应里返回安全相关头，告诉浏览器如何安全处理。如禁止页面被嵌入iframe、限制加载来源、强制HTTPS。能防点击劫持、XSS、MIME嗅探等。是低成本高收益的安全加固。懂它，配置才有意义。

配X-Frame-Options

X-Frame-Options: DENY/SAMEORIGIN，禁止或限制页面被iframe嵌入，防点击劫持。在Nginx/Apache加配置即可。DENY彻底禁止，SAMEORIGIN同源允许。配好，别人没法用iframe套你的页面。

配CSP内容安全策略

Content-Security-Policy（CSP）限制页面能加载哪些来源，防XSS和注入。配置default-src、script-src等指令，限制脚本、样式、图片来源。别设太严，会挡正常资源。CSP配好，XSS难下手。

配HSTS强制HTTPS

Strict-Transport-Security（HSTS）强制浏览器用HTTPS访问，防降级攻击和中间人。先确保全站HTTPS正常，再配HSTS。max-age设长一点。HSTS让HTTPS成为硬性要求。

其他响应头

X-Content-Type-Options: nosniff防MIME嗅探，Referrer-Policy控制来源信息，Permissions-Policy限制浏览器功能。一次性都配上。用安全检测工具验证评分。响应头配全，防护拉满。

总结：懂安全响应头、配X-Frame-Options防点击劫持、配CSP防XSS、配HSTS强制HTTPS、配全其他响应头并验证，网站安全分就上去了。响应头配好，攻击挡在门外。