# כותרות אבטחה: ארבע הגדרות במילים פשוטות

> מה עושים HSTS, מדיניות אבטחת תוכן, nosniff ומדיניות Referrer, ומה לבקש מחברת האחסון לבדוק באתר.

- עמוד באתר: https://sporesec.com/he/tools/browser-protections-security-headers
- שפה: עברית
- עודכן לאחרונה: 2026-10-29
- זמין גם בשפה English: https://sporesec.com/en/tools/browser-protections-security-headers.md

נבדק בתאריך 2026-10-29

## מה הן

כותרות אבטחה הן הוראות קצרות שהשרת שולח עם כל עמוד. הדפדפן קורא אותן ומפעיל כללים נוספים. הגדרתן היא עבודת אחסון שגרתית.

## HSTS

HSTS אומר לדפדפן להשתמש באתר רק ב-HTTPS ולשדרג כל בקשת http מאוחרת. `max-age` הוא כמה זמן הדפדפן זוכר. `includeSubDomains` מרחיב לתת-דומיינים. הדגל האופציונלי `preload` דורש max-age של שנה לפחות ואת includeSubDomains, ומצרף את האתר לרשימה שמובנית בדפדפנים; את הרשימה הזו מפעילה Google והיא לא חלק מתקן HSTS.

## מדיניות אבטחת תוכן

מדיניות אבטחת תוכן (Content Security Policy) קובעת מאילו מקורות עמוד רשאי לטעון משאבים. היא עוזרת להגן מפני cross-site scripting: היא מגבילה מה סקריפט מוזרק יכול לעשות, והיא לא טוענת לעצור כל התקפה כזו.

## nosniff

`X-Content-Type-Options: nosniff` אומר לדפדפן לסמוך על סוג הקובץ המוצהר ולא לנחש. סקריפט או סגנון עם סוג שגוי נחסמים.

## מדיניות Referrer

`Referrer-Policy` שולטת בכמה מכתובת העמוד נשלח לאתרים אחרים כשגולש עוקב אחרי קישור. דפדפנים מודרניים כבר משתמשים כברירת מחדל ב-`strict-origin-when-cross-origin`.

## תוכן מעורב

עמוד מאובטח שטוען חלק מהחלקים ב-http רגיל נקרא "מעורב". דפדפנים משדרגים תמונות, אודיו ווידאו וחוסמים סקריפטים, סגנונות ומסגרות שנטענו כך.

## מה אנחנו בודקים

אילו מהכותרות האלה עמוד הבית שולח, והאם כתובת ה-http הרגילה עוברת ל-https. אנחנו אומרים קיים או חסר בתאריך שקראנו. זו קריאה מבחוץ; היא לא סקירת אבטחה ולא הבטחה לבטיחות.

## מה לשאול את חברת האחסון

האם האתר מעביר מ-http ל-https? האם HSTS מופעל? האם הוגדרה מדיניות אבטחת תוכן, והאם נבדקה לפני שנאכפה? האם כל הסקריפטים והתמונות נטענים ב-https?

## מה אנחנו לא אומרים

כותרת שאין לכם אינה הוכחה לבעיה, וסט מלא אינו הוכחה לבטיחות.

## מקורות

- [MDN, Strict-Transport-Security](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Strict-Transport-Security) (נקרא בתאריך 2026-10-28)
- [MDN, Content-Security-Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Content-Security-Policy) (נקרא בתאריך 2026-10-28)
- [MDN, X-Content-Type-Options](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/X-Content-Type-Options) (נקרא בתאריך 2026-10-28)
- [MDN, Referrer-Policy](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/Referrer-Policy) (נקרא בתאריך 2026-10-28)
- [MDN, Mixed content](https://developer.mozilla.org/en-US/docs/Web/Security/Defenses/Mixed_content) (נקרא בתאריך 2026-10-28)

## הצעד הבא

- הריצו את בדיקת האתר החינמית: https://sporesec.com/he/tools

---

- יצירת קשר: contact@sporesec.com | WhatsApp https://wa.me/972532322318 | https://sporesec.com/he/contact.md
- לקביעת שיחת היכרות חינם: https://sporesec.com/he/book.md
- נתוני האתר לקריאה ממוחשבת: https://sporesec.com/llms.txt | https://sporesec.com/agents/he/index.json