Security Headers

Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options. CSP — самый мощный, но требует настройки под сайт.

В Nginx — add_header, в Apache — Header set. Для Next.js — next.config.js headers. Начинайте с простых (X-Frame-Options: DENY), CSP настраивайте постепенно.

CSP блокирует скрипты и стили из неразрешённых источников. Добавляйте домены по одному, проверяйте консоль. Используйте report-only для теста.

Security Headers загружает страницу и извлекает заголовки ответа. Альтернатива — DevTools → Network → выберите документ → Headers.