From c058fa0fb22dc40ef0225b21a97578cddd0aaffa Mon Sep 17 00:00:00 2001 From: Florian Merz Date: Thu, 11 Feb 2021 14:51:05 +0100 Subject: unslug ru: move --- .../web/http/headers/x-xss-protection/index.html | 87 ++++++++++++++++++++++ 1 file changed, 87 insertions(+) create mode 100644 files/ru/web/http/headers/x-xss-protection/index.html (limited to 'files/ru/web/http/headers/x-xss-protection') diff --git a/files/ru/web/http/headers/x-xss-protection/index.html b/files/ru/web/http/headers/x-xss-protection/index.html new file mode 100644 index 0000000000..847ec38972 --- /dev/null +++ b/files/ru/web/http/headers/x-xss-protection/index.html @@ -0,0 +1,87 @@ +--- +title: X-XSS-Protection +slug: Web/HTTP/Заголовки/X-XSS-Protection +tags: + - HTTP + - XSS + - Безопасность + - Заголовок + - Справка +translation_of: Web/HTTP/Headers/X-XSS-Protection +--- +
{{HTTPSidebar}}
+ +

Заголовок ответа HTTP X-XSS-Protection это особенность Internet Explorer, Chrome и Safari, которая останавливает загрузку страниц при обнаружении ({{Glossary("XSS")}}) атаки. Хотя эти меры защиты не требуются в большинстве случаев для современных браузеров, когда сайты внедряют сильную политику безопасности контента {{HTTPHeader("Content-Security-Policy")}}, которая отключает использование встроенного JavaScript ('unsafe-inline'), они могут обеспечить защиту для пользователей, использующих устаревшие версии браузеров, не поддерживающих {{Glossary("CSP")}}.

+ + + + + + + + + + + + +
Тип заголовка{{Glossary("Response header")}}
+

Запрещенное имя заголовка

+ +

{{Glossary("Forbidden header name")}}

+ 		no
+ +

Синтаксис

+ +
X-XSS-Protection: 0
+X-XSS-Protection: 1
+X-XSS-Protection: 1; mode=block
+X-XSS-Protection: 1; report=<reporting-uri>
+
+ +
+
0
+
Отключает фильтрацию XSS.
+
1
+
Включает фильтрацию XSS (по-умолчанию в браузерах). Если будет замечена попытка межсайтового скриптинга(XSS), браузер удалит небезопасное содержимое.
+
1; mode=block
+
Включает фильтрацию XSS. Вместо того, чтобы очищать содержимое страницы, браузер предотвратит отображение страницы, если заметит атаку.
+
1; report=<reporting-URI>  (Chromium only)
+
Включает фильтрацию XSS. При обнаружении атаки межсайтового скриптинга, браузер очистит страницу от небезопасного содержимого и сообщит о нарушении. Для отправки отчёта используется функциональные возможности директивы CSP {{CSP("report-uri")}}.
+
+ +

Пример

+ +

Блокировка загрузки страницы, при обнаружении отражённой (непостоянной) XSS:

+ +
X-XSS-Protection: 1; mode=block
+ +

PHP

+ +
header("X-XSS-Protection: 1; mode=block");
+ +

Apache (.htaccess)

+ +
<IfModule mod_headers.c>
+  Header set X-XSS-Protection "1; mode=block"
+</IfModule>
+ +

Спецификации

+ +

Не является частью каких-либо спецификай или черновиков.

+ +

Поддерживается браузерами

+ + + +

{{Compat("http.headers.X-XSS-Protection")}}

+ +

Смотри также

+ + -- cgit v1.2.3-54-g00ecf