注册
登录控制台
很多网站已经部署 HTTPS、CDN 和基础防火墙，但浏览器侧的安全响应头仍然缺失。HTTP 安全响应头不是替代服务端加固，而是补齐浏览器执行层面的约束，能降低中间人降级、跨站脚本、点击劫持、资源混用和信息泄露等风险。本文从 HSTS、CSP、X-Frame-Options、Referrer-Policy 与源站保护几个方面，整理一套适合云服务器和建站业务的落地配置思路。
一、HSTS 负责锁定 HTTPS 访问
HSTS 的作用是告诉浏览器在一段时间内只通过 HTTPS 访问站点，避免用户或脚本被降级到 HTTP。启用前要确认主域名、子域名、证书续期和 CDN 回源都稳定，否则可能造成部分子域名无法访问。建议先使用较短 max-age 观察，再逐步提升到长期策略。对含有多个业务子域的网站，不要急着开启 includeSubDomains，先完成子域清点更稳妥。
二、CSP 负责限制资源来源
CSP 可以规定页面允许加载哪些脚本、样式、图片、字体和接口地址。它对 XSS 风险有明显缓解价值，但配置过严会影响正常业务。建议先使用 Content-Security-Policy-Report-Only 观察违规报告，确认业务依赖后再切换为正式策略。脚本来源应尽量减少通配符，避免随意放开 unsafe-inline；确实需要内联脚本时，可以通过 nonce 或 hash 方式逐步替代。
三、点击劫持与信息泄露要一起处理
X-Frame-Options 或 frame-ancestors 能限制页面被第三方 iframe 嵌入，适合登录、支付、控制台和后台页面。Referrer-Policy 可以控制跳转时携带的来源信息，避免把带参数的 URL 暴露给外部站点。X-Content-Type-Options: nosniff 则能减少浏览器 MIME 嗅探带来的误执行风险。
四、CDN 后面的源站也要收口
如果使用 CDN 或 WAF，源站安全组不要继续向全网开放 80/443。可以只允许 CDN 回源 IP、管理 IP 或内网网段访问源站，并在源站 Nginx 中校验 Host，拒绝异常域名直连。这样即使攻击者找到源站 IP，也不容易绕过前置防护直接打到真实服务器。
HTTP 安全响应头的价值在于把浏览器、CDN、源站和业务页面的边界约束清楚。八彩云技术文档持续整理云服务器、建站安全和网络安全相关实践，建议站长先从 HTTPS 稳定性、CSP 观察模式和源站访问控制三项开始落地。