В настоящее время я занимаюсь внедрением политик безопасности контента. Но мой apache отказался принять настройки конфигурации.
В настоящее время я использую следующие версии apache2: 2.2.22 и 2.4.7. Ни одна из этих версий apache2, похоже, не работает.
Мои настройки конфигурации:
Header always set Content-Security-Policy: frame-src 'self' *.google.de google.de *.google.com google.com;
Header always set Content-Security-Policy-Report-Only: default-src 'none'; script-src 'self'; connect-src 'self'; img-src 'self'; style-src 'self'; report-uri https://www.myhostname.com/report/report.php;
Header always set X-Content-Security-Policy: frame-src 'self' google.de google.com;
Я получаю следующее сообщение об ошибке при любом из этих параметров. Если я закомментирую одну строку, ошибка просто изменится на следующую строку:
Output of config test was:
AH00526: Syntax error on line 7 of /etc/apache2/conf-enabled/security.conf:
Header has too many arguments
Action 'configtest' failed.
Я перепробовал все возможные комбинации настроек, что привело к одним и тем же сообщениям об ошибках. Итак, я пришел к выводу, что мои апачи не поддерживают эти заголовки? Но я ничего не нашел в Интернете по этому поводу.
Или я просто упускаю что-то важное? Я также скопировал различные примеры с других страниц, и они дали те же ошибки.
Заголовки в целом работают нормально. У меня есть еще пара заголовков, которые отлично работают:
Header always set X-Content-Type-Options nosniff
Header always set X-XSS-Protection "1; mode=block"
Header always set X-Permitted-Cross-Domain-Policies "master-only"
Header always set Cache-Control "no-cache, no-store, must-revalidate"
Header always set Pragma "no-cache"
Header always set Expires "-1"
Спасибо вам!
Если значение заголовка содержит пробелы, вы должны заключить его в двойные кавычки. Ваши примеры уже делают это, но ваши предполагаемые новые заголовки - нет.
Например, вы пробовали:
Header always set Content-Security-Policy: frame-src 'self' *.google.de google.de *.google.com google.com;
Так должно быть:
Header always set Content-Security-Policy: "frame-src 'self' *.google.de google.de *.google.com google.com;"