Cabeçalhos de segurança e acesso

Pequenos ajustes no Nginx aumentam bastante a segurança do site. Dois recursos ajudam nisso: cabeçalhos de segurança e controle de acesso por IP.

Cabeçalhos com add_header

A diretiva add_header adiciona cabeçalhos na resposta. Alguns protegem contra ataques comuns:

server {
    add_header X-Frame-Options "SAMEORIGIN";
    add_header X-Content-Type-Options "nosniff";
    add_header Referrer-Policy "no-referrer-when-downgrade";
}

• X-Frame-Options: evita que seu site seja embutido em iframes de terceiros (clickjacking).
• X-Content-Type-Options: impede o navegador de adivinhar o tipo do conteúdo.
• Referrer-Policy: controla quais dados de origem são enviados.

Controle de acesso

Com allow e deny você libera ou bloqueia IPs:

location /admin/ {
    allow 192.168.1.0/24;
    deny all;
}

Aqui só a rede interna acessa /admin/; o resto é bloqueado.

Escondendo a versão

Por segurança, esconda a versão do Nginx nas respostas:

http {
    server_tokens off;
}

Resumo

Use add_header para enviar cabeçalhos que protegem contra ataques comuns. Controle o acesso com allow e deny por IP e desative server_tokens para não expor a versão do servidor.