网站安全响应头怎么配：从 HSTS 到 CSP 的实用清单

网站做了全站加密，只代表数据传输这一环受到了保护。浏览器侧还有一层可以主动加固的地方，就是服务器返回的安全响应头。它们不显眼，配置也不算复杂，但在页面被植入恶意代码、被别人用框架嵌入等场景下，能起到实实在在的拦截作用。

HSTS：强制走加密连接

配置之后浏览器会在有效期内直接使用加密连接访问，不再先发一次明文请求，可以降低被引导到伪造页面的风险。需要注意的是，一旦生效且有效期设置得很长，证书出问题时会很难回退，所以应当先确认证书覆盖全部需要访问的子域名，再逐步延长有效期。

CSP：限制页面能加载什么

内容安全策略通过规则限定页面可以加载脚本、样式、图片等资源的来源。它的价值在于，即使页面上被插入了来路不明的脚本，只要不在允许清单里就无法执行。初次配置建议先使用只报告不拦截的模式运行一段时间，观察正常业务是否被误伤，再正式收紧。

防嗅探与防劫持

声明内容类型不被猜测，可以避免浏览器把上传的文件当成脚本执行；限制页面能否被其他站点以框架方式嵌入，能降低点击劫持风险；控制来源信息在跳转过程中的传递范围，则能减少访客信息外泄。这几项配置通常只需要一行，性价比很高。

Cookie 属性别漏掉

为会话相关的 Cookie 加上只在加密连接下发送、禁止脚本读取、限制跨站携带等属性，能明显降低会话被窃取的可能。这类改动需要与业务方一起验证，确认不会影响正常登录与下单流程后再推开。

上线策略：先观察再收紧

安全响应头的调整建议按试点、观察、推广的顺序推进，先在测试环境验证，再对主站启用报告模式，确认没有大量正常请求被拦截后逐项收紧。同时把每项配置及其生效范围记录下来，便于日后排查问题时对照。

别把它当成一次性工作

新增第三方服务、更换加速服务或者调整域名结构时，都可能需要同步修改策略。把响应头纳入网站上线与变更的检查项，比出事之后再补要省力得多，也能让站点在长期运行中保持一个稳定的安全基线。

关于冉冉科技

江苏冉冉信息科技有限公司（品牌“冉冉科技”）成立于2017年，位于江苏省常州市新北区，是一家从事互联网信息服务、电子商务应用与企业应用系统开发的技术服务企业。公司业务涵盖网站建设、网页设计、SEO优化、竞价包年、域名注册、虚拟主机、企业邮箱、整合营销及企业形象策划等，以“只做有效果的网络营销”为服务主张，累计完成三千余起网站建设与服务。