Blog cá nhân về an ninh mạng
Thẻ: web
-
HSTS: bật thế nào mà không tự khoá website
HSTS buộc trình duyệt luôn dùng HTTPS cho website của bạn, nhưng đặt sai có thể khiến cả tên miền con hoặc cả website không truy cập được. Bài này đưa ra lộ trình tăng max-age từng bước và cách bật trên Nginx, Apache, cPanel, DirectAdmin, Cloudflare.
-
Content-Security-Policy và các security header cơ bản
Security header là nội quy website gửi cho trình duyệt. Bài này giải thích các header cơ bản (nosniff, frame-ancestors, Referrer-Policy, Permissions-Policy) và cách đưa CSP vào dần dần bằng chế độ Report-Only, kèm cấu hình cho Nginx, Apache, .htaccess, Cloudflare.
-
Chứng chỉ TLS hết hạn: nguyên nhân và cách phòng
Chứng chỉ hết hạn là sự cố rất phổ biến nhưng phòng được gần như hoàn toàn. Bài này liệt kê các nguyên nhân thật sự hay gặp (gia hạn tự động hỏng, quên nạp lại máy chủ, email nhắc gửi nhầm người) và cách đặt giám sát bằng openssl.