HTTPS, HSTS och säkra cookies

Bakom Nginx behöver Django veta att begäran kom via TLS. SECURE_PROXY_SSL_HEADER talar om vilken header den ska lita på för detta.

HSTS talar om för webbläsare att de endast får kommunicera med din webbplats via HTTPS under en viss tid. Även om du skriver http uppgraderas det innan någon begäran lämnar webbläsaren.

Ange SECURE_HSTS_SECONDS för att aktivera HSTS. Börja med ett litet värde under testningen, eftersom webbläsare kommer ihåg det och vägrar vanlig HTTP tills det löper ut.

Täck alla subdomäner och kvalificera dig för preload-listor med två extra flaggor. De gör att HSTS gäller bredare och låter webbläsare ha det inbyggt.

Sessions- och CSRF-cookies autentiserar användare. Om de läcker via HTTP kan en angripare kapa sessionen, så även de behöver skyddsflaggor.

Ange SESSION_COOKIE_SECURE som True så att sessionscookien endast skickas via HTTPS, aldrig över en okrypterad anslutning.

Gör samma sak för CSRF-skyddet. När CSRF_COOKIE_SECURE är aktiverad vägrar även token-cookien att skickas via vanlig HTTP.

Flaggan HttpOnly döljer sessionscookien för JavaScript, så att ett skript från en annan webbplats inte kan läsa och stjäla den. Django aktiverar den som standard för sessioner.

Attributet SameSite hindrar cookies från att skickas med begäranden mellan webbplatser och ger ett extra lager CSRF-skydd. Django använder Lax som standard åt dig.

Du tvingade fram HTTPS, lärde webbläsare att komma ihåg det med HSTS och markerade dina cookies som secure och HttpOnly. Trafik och sessioner är nu krypterade från början till slut. ✨