Headers Security Advanced & HSTS WP

説明

ENGLISH

Headers Security Advanced & HSTS WP は最高のオールインワンで、すべての WordPress ユーザー向けの無料プラグインです。このプラグインを無効にすると、サイトの構成が以前の状態に正確に戻ります。

Headers Security Advanced & HSTS WP プロジェクトは、サイトが Web サイトのセキュリティを強化するために使用できる HTTP 応答ヘッダーを実装します。プラグインはすべてのベストプラクティスを自動的に設定します (何も考える必要はありません) 。これらの HTTP 応答ヘッダーは、最新のブラウザーが簡単に予測可能な脆弱性に遭遇するのを防ぐことができます。Headers Security Advanced & HSTS WP プロジェクトは、すべてのワードプレスユーザーにこれらのヘッダーの普及と認知度と使用率を高めたいと考えています。

このプラグインは TentaclePlugins by irn3 によって開発されており、WordPress のセキュリティとベストプラクティスを重視しています。

Headers Security Advanced & の優れた機能を確認してください。 HSTS WP :

  • HSA Limit Login でブルート フォース攻撃をブロックします。
  • X-XSS-Protection (non-standard)
  • Expect-CT
  • Access-Control-Allow-Origin
  • Access-Control-Allow-Methods
  • Access-Control-Allow-Headers
  • X-Content-Security-Policy
  • X-Content-Type-Options
  • X-Frame-Options
  • X-Permitted-Cross-Domain-Policies
  • X-Powered-By
  • Content-Security-Policy
  • Referrer-Policy
  • HTTP Strict Transport Security / HSTS
  • Content-Security-Policy
  • Clear-Site-Data
  • Cross-Origin-Embedder-Policy-Report-Only
  • Cross-Origin-Opener-Policy-Report-Only
  • Cross-Origin-Embedder-Policy
  • Cross-Origin-Opener-Policy
  • Cross-Origin-Resource-Policy
  • Permissions-Policy
  • Strict-dynamic
  • Strict-Transport-Security
  • FLoC (コホートの複合学習)

Headers Security Advanced & HSTS WPOWASP CSRF に基づき、ワードプレスサイトを保護します。OWASP CSRF を使用し、プラグインがインストールされると、出力で nonce を使用するメソッドを呼び出すことなく、CSRF を完全に軽減できます。 他の脆弱なプラグイン (CSRF) があっても、サイトは安全になります。

HTTP セキュリティヘッダーは、Web サイトのセキュリティの重要な部分です。Headers Security Advanced & で自動実装後、 HSTS WP は、サイトが遭遇する可能性のある最も悪名高い種類の攻撃からユーザーを保護します。これらのヘッダーは、XSS、コード インジェクション、クリックジャッキングなどから保護します。

We have put a lot of effort into making the most important services operational with Content Security Policy (CSP), below are some examples that we have tested and used with Headers Security Advanced & HSTS WP:

  • CSP usage for Google Tag Manager
    world’s most popular tag manager
  • Using CSP for Gravatar
    Avatar service for WordPress and Social sites
  • Using CSP for WordPress Internal Media
    support WordPress media
  • Using CSP for Youtube Embedded Video SDK
    support Youtube embedded frames and JS SDK
  • CSP usage for CookieLaw
    privacy technology to meet regulatory requirements
  • CSP usage for Mailchimp
    support for Mailchimp automation, SDK and modules
  • CSP usage for Google Analytics
    support for basic conversion domains such as: stats.g.doubleclick.net and www.google.com
  • CSP usage for Google Fonts
    you’re not loading it on the page, chances are one of your SDKs is using it
  • Using CSP for **Facebook
    support Facebook SDK functionality
  • Using CSP for Stripe
    highly secure online payment system
  • Using CSP for New Relic
    it’s a registration and monitoring utility
  • Using CSP for Linkedin Tags + SDKs
    support Linkedin Insight, Linkedin Ads and SDK
  • Using CSP for OneTrust
    OneTrust support helps companies manage privacy requirements
  • CSP usage for Moat
    Moat support to measurement suite such as: ad verification, brand safety, advertising and coverage
  • CSP usage for jQuery
    support of jQuery – JS library
  • CSP usage for Twitter Widgets & SDKs
    support Connect, Widgets and the Twitter client-side SDK
  • Using CSP for Google Maps
    support Google Maps as The ggpht used by streetview
  • Using CSP for Quantcast Choice
    Quantcast support for privacy such as GDPR and CCPA
  • CSP usage for Twitter Ads & Analytics
    Twitter support for advertising and Analytics
  • Using CSP for Paypal
    PayPal support for online payment system
  • Using CSP for Drift
    Drift and Driftt support
  • CSP usage for Cookiebot
    cookie and tracker support, GDPR/ePrivacy and CCPA compliance
  • CSP usage for Vimeo Embedded Videos SDK
    support frames, JS SDK, Froogaloop integration
  • Using CSP for AppNexus (now Xandr)
    AppNexus support for custom retargeting
  • Using CSP for Mixpanel
    support analytics tool with SDK/JS to collect client-side data
  • Using CSP for Font Awesome
    toolkit support for fonts and icons over CSS and Less
  • Using CSP for Google reCAPTCHA
    reCAPTCHA support for fraud and bot protection
  • CSP usage for Bootstrap CDN
    Bootstrap support for CSS frameworks
  • Using CSP for HubSpot
    Hubspot support with many features, used for monitoring and mkt functionality
  • Using CSP for Hotjar
    Hotjar tracker support for analytics and metrics
  • Using CSP for WP.com
    support for wp.com hosting
  • Using CSP for Akamai mPulse
    support for Akamai mPulse, for origin and perimeter integrations
  • CSP usage for Cloudflare – Rocket-Loader & Mirage
    support for Mirage libraries for performance acceleration
  • Using CSP for Cloudflare – CDN.js
    Cloudflare’s open CDN support with multiple libraries
  • Using CSP for jsDelivr
    support jsDelivr free CDN for Open Source

Headers Security Advanced & HSTS WP is based on the OWASP CSRF standard to protect your wordpress site. Using the OWASP CSRF standard, once the plugin is installed, you can customize CSP rules for full CSRF mitigation. The site will be secure despite having other vulnerable plugins (CSRF).

All Free Features
The Headers Security Advanced & HSTS WP version includes all the free features.

ベストプラクティスを使用して、FLoC (コホートの複合学習) を実装しました。まず、Headers Security Advanced & を使用します。HSTS WP は、ブラウザが FLoC (Federated Learning of Cohorts) の「コホート計算」にサイトを含めないようにします。これは、document.interestCohort() を呼び出して、現在使用されているクライアントの FLoC ID を取得できないことを意味します。明らかに、これは現在アクセスしているサイトの外では何もせず、その範囲を超えてクライアントの FLoC を「無効」にしません。

FLoC はまだかなり新しく、まだ広くサポートされていませんが、プログラマーとしてプライバシー保護要素が重要であると考えているため、FLoC をオプトアウトする機能を提供することにしました ! 特別な 「FLoC の自動ブロック」 機能を作成し、常に プライバシー保護とサイバーセキュリティを備えた最高のツールを提供することを主なターゲットとフォーカスとして試みています。

Headers Security Advanced & HSTS WPを使用する前後にサイトを分析します。セキュリティヘッダーは、HTTP セキュリティヘッダーおよび HTTP Strict Transport Security / HSTS のベストプラクティスに従って自己構成されます。

このプラグインは定期的に更新されます。限定的なサポートは無料です。フィードバックをお寄せください (バグ、互換性の問題、または次の更新に関する推奨事項)。私たちはいつでも迅速です:-D.

スクリーンショット

  • HTTPセキュリティヘッダーのチェック (後)
  • HTTPセキュリティヘッダーのチェック (前)
  • Check HTTP Strict Transport Security / HSTS (list)
  • WebPageTest チェック (AFTER)
  • WebPageTest チェック (BEFORE)
  • Setting on single site installation
  • HTTP セキュリティ ヘッダーの確認 – Serpworx (後)
  • HTTP セキュリティヘッダーの確認 – Serpworx (前)
  • Site-wide security setting

インストール

ITALIAN

  1. Vai in Plugin ‘Aggiungi nuovo’.
  2. Cerca Headers Security Advanced & HSTS WP.
  3. Cerca questo plugin, scaricalo e attivalo.
  4. Vai in ‘impostazioni’ > ‘Headers Security Advanced & HSTS WP’. Per personalizzare le intestazioni.
  5. Puoi cambiare questa opzione quando vuoi, Headers Security Advanced & HSTS WP viene impostato in automatico.

ENGLISH

  1. Go to Plugins ‘Add New’.
  2. Search for Headers Security Advanced & HSTS WP.
  3. Search for this plugin, download and activate it.
  4. Go to ‘settings’ > ‘Headers Security Advanced & HSTS WP’. To customize headers.
  5. You can change this option whenever you want, Headers Security Advanced & HSTS WP is set automatically.

FRANÇAIS

  1. Allez dans Plugins ‘Add new’.
  2. Recherchez Headers Security Advanced & HSTS WP.
  3. Recherchez ce plugin, téléchargez-le et activez-le.
  4. Allez dans ‘settings’ > ‘Headers Security Advanced & HSTS WP’. Pour personnaliser les en-têtes
  5. Vous pouvez modifier cette option quand vous le souhaitez, Headers Security Advanced & HSTS WP est réglé automatiquement.

DEUTSCH

  1. Gehen Sie zu Plugins ‘Neu hinzufügen’.
  2. Suchen Sie nach Headers Security Advanced & HSTS WP.
  3. Suchen Sie nach diesem Plugin, laden Sie es herunter und aktivieren Sie es.
  4. Gehen Sie zu “Einstellungen” > “Kopfzeilen Sicherheit Erweitert & HSTS WP”. So passen Sie die Kopfzeilen an
  5. Sie können diese Option jederzeit ändern, Headers Security Advanced & HSTS WP wird automatisch eingestellt.

FAQ

どうすれば A+ グレードを取得できますか ?

A+ グレードを獲得するには、サイトがすべての HTTP レスポンスヘッダーを発行し、チェックする必要があります。これは、訪問者のセキュリティを向上させるための高いレベルの取り組みを示しています。

おすすめのヘッダーは ?

HTTP 接続を介して、Content-Security-Policy、X-Content-Type-Options、X-Frame-Options、および X-XSS-Protection を取得します。HTTPS 接続を介して、Strict-Transport-Security と Public-Key-Pins の2つの追加ヘッダーの存在がチェックされます。

プラグインによって速度が低下することはありますか ?

いいえ、Headers Security Advanced & HSTS WP は高速で安全で、SEO や Web サイトの速度には影響しません。

HSTS (Strict Transport Security) とは何ですか ?

これは、サイトが HTTPS で実行されている場合にブラウザに安全な接続を強制的に使用させるソリューションとして作成されました。 Web サーバーに追加され、Strict-Transport-Security として応答ヘッダーに反映されるセキュリティヘッダーです。 HSTS は、次の異常に対処するため必要です。

Preload HSTSの使用前後のチェック

このステップは、ウェブサイトやドメインを承認済みの HSTS リストに送信するために重要です。このリストは Google が公式にまとめたもので、Chrome、Firefox、Opera、Safari、IE11、Edge で使用されています。サイトを公式の HSTS プリロードディレクトリに転送できます。 (‘https://hstspreload.org/’)

どのように HTTP Strict Transport Security (HSTS) を使用しますか

サイトで Preload HSTS を使用する場合は、アクティブ化する前にいくつかの要件があります。

  • 有効な SSL 証明書を取得します。とにかくこれなしでは何もできません。
  • すべての HTTP トラフィックを HTTPS にリダイレクトする必要があります (永続的な301リダイレクトを使用することをお勧めします)。これは、サイトを HTTPS のみにする必要があることを意味します。
  • HTTPS ですべてのサブドメインも提供する必要があります。サブドメインがある場合は、SSL 証明書が必要になります。

ベースドメイン (例: example.com) の HSTS ヘッダーは既に構成されているため、プラグインを有効にするだけで済みます。

サイトの HSTS ステータスを確認したい場合は、ここで確認できます: https://hstspreload.org/

バグの報告や機能のリクエストはできますか ?

You can report bugs or request new features right support@tentacleplugins[dot]com

Google の広告技術である FLoC を無効にします

FLoC は、すべてのサイトでのユーザーアクティビティを監視し、その情報をブラウザーに保存し、機械学習を使用してユーザーを同様の関心を持つコホートに配置するメガトラッカーです。 このようにして、広告主は同様の関心を持つ人々のグループをターゲットにすることができます。さらに、Google 独自のテストによると、FLoC は Cookie よりも少なくとも95% 多いコンバージョンを達成しています。

FLoC by Google を無効にしているのはどうしてですか ?

Scott Helme は、5月3日の時点で、最初の100万のドメインのうち967が Permissions-Policy ヘッダーで FLoC の interest-cohort を無効にしていると報告しました。そのリストには、The Guardian や IKEA などのいくつかの大きなサイトが含まれていました。

CloudFlare と Headers Security Advanced & を使用できますか ? HSTS WP プラグイン ?

プラグインの更新後に異常が発生していますか ? はいの場合は、次の手順に従ってください : CloudFlare クライアントエリアのキャッシュを直接クリアします。

  • Cloudflare ダッシュボードにログインし、アカウントとドメインを選択します。
  • キャッシュ > 構成を選択します。
  • 「キャッシュパージ」 で、「カスタムパージ」 を選択します。 カスタムパージウィンドウが表示されます。
  • 「パージ方法」 で、「URL」 を選択します。
  • 例に示されている形式を使用して、テキストフィールドに適切な値を入力します。
  • 追加の指示に従ってフォームに記入します。
  • 入力したデータを確認します。
  • クリックして削除します。

これは、cloudFlare が原因です。

評価

2024年7月17日 1 reply
It works really well and is really easy to use, but it can be difficult to figure out the right CSP rules, and the plugin provides zero guidance. You can very easily, say, accidentally block google’s recaptcha script, if you have that installed, and since recaptcha can be set to only ask you once every 30 days, you can run for weeks with no problem and then, long after you’ve forgotten about this, you suddenly get recaptcha errors trying to log into your site, and you need to be able to troubleshoot that. So, -1 star for that. But otherwise, does exactly what it says, and you kind of need this or PageSpeed will complain nowadays. Worth the trouble, but, wish it was a little clearer, or clear at all, on how to figure out how to set it up right.
2024年3月27日
I went to securityheaders and scanned my site. Then installed the Headers Security Advanced & HSTS WP plugin and immediately improved my grade from a D to an A+. Thank you!
56件のレビューをすべて表示

貢献者と開発者

Headers Security Advanced & HSTS WP はオープンソースソフトウェアです。以下の人々がこのプラグインに貢献しています。

貢献者

“Headers Security Advanced & HSTS WP” は5ロケールに翻訳されています。 翻訳者のみなさん、翻訳へのご協力ありがとうございます。

“Headers Security Advanced & HSTS WP” をあなたの言語に翻訳しましょう。

開発に興味がありますか ?

コードを閲覧するか、SVN リポジトリをチェックするか、開発ログRSS で購読してみてください。

変更履歴

5.0.36

We don’t want to tell you what to do, but here’s the point: if you’ve updated the Headers Security Advanced & HSTS WP plugin last time, you’ve seen that when we suggest doing so, we don’t just say it and leave it at that. Well, with this 5.0.36 version we’ve added and fixed a lot (we got rid of some bugs, tidied up some pesky pixels and updated the graphics) and it all works great. Are we agreed? Touch “update” and we’ll provide you with the most beautiful, fastest, and most impressive plugin around. Enjoy!
– New: The plugin is now fully compatible with WordPress 6.5. I commitment to maintain compatibility with the latest versions of WordPress to ensure that your site runs smoothly;
– New: In the most recent version, I have introduced a new feature that allows you to fix duplicate headers in one click. This option is designed to give you more control and avoid the “duplicate headers” warning;
– Upgrade: Fixed the bug that could delete the plugin rules of the header customization function (X-Frame-Options and Permissions-Policy), this was caused by the customization of ALLOW-FROM Fixed the bug that could delete the plugin rules of the header customization function (X-Frame-Options and Permissions-Policy), this was caused by the customization of ALLOW-FROM;
– Delete: deleted the ‘X-XSS-Protection’ header because this functionality is no longer in the standards path.