[{"data":1,"prerenderedAt":169},["ShallowReactive",2],{"publication:he:P081":3},{"meta":4,"copy":16,"relatedArticles":128,"terms":161,"term":162,"resourceParent":163,"glossaryParent":166},{"id":5,"path":6,"kind":7,"keyword":8,"title":9,"seoTitle":9,"description":10,"incoming":11,"updated":14,"preparedOn":15},"P081","\u002Fblog\u002Fsecurity-headers-explained","article","אילו כותרות אבטחה כדאי להגדיר באתר","אילו כותרות אבטחה כדאי להגדיר באתר ואיך בודקים שינוי","כותרות אבטחה לאתר עסקי: CSP, HSTS, סוג תוכן ומדיניות הפניות. מיפוי תלות, בדיקת דפים ותהליכים ותוכנית מעבר מבוקרת.",[12,13],"\u002Fservices\u002Fsecurity-audit","\u002Fservices\u002Fcloudflare","2026-08-31","2026-10-29",{"intro":17,"sections":18,"checklist":89,"faq":95,"sources":105,"links":109,"cta":123},"כותרות אבטחה נבחרות לפי מה שהאתר מציג, טוען ומאפשר למשתמש לבצע. CSP, HSTS, X-Content-Type-Options ומדיניות הפניות ממלאות תפקידים שונים; אין חבילה אחידה שמתאימה לכל אתר. לפני שינוי ממפים שירותי צד שלישי ותהליכים חשובים, ואחריו בודקים גם את הכותרת שהדפדפן מקבל וגם את התפקוד בפועל.",[19,24,59,71,76,81],{"title":20,"paragraphs":21},"התחילו ממפת האתר והתלויות, לא מרשימת ניקוד",[22,23],"רשמו את סוגי הדפים: תוכן ציבורי, טופס, אזור כניסה, ממשק ניהול ונתיב API אם יש. לכל סוג ציינו אילו שירותים חיצוניים נטענים ומה חייב לעבוד. דף בית סטטי, חנות עם ספק תשלום ומערכת לקוחות אינם מקבלים בהכרח אותה מדיניות. כותרת שנראית תקינה בדף הבית יכולה להיות שונה בדף אחר.","בדקו גם מי מוסיף את הכותרות: האפליקציה, שרת האחסון, CDN או שילוב שלהם. שינוי במקום אחד עשוי להישאר מוסתר מאחורי מטמון או להתנגש בכלל אחר. מגדירים נקודת אחריות ותיעוד מצב קיים לפני עדכון. בעל העסק יכול לאסוף את התלות והפעולות החשובות; שינוי מדיניות נעשה בידי מי שמכיר את סביבת הפריסה.",{"title":25,"paragraphs":26,"table":28,"sources":55},"איזו כותרת מטפלת באיזו שאלה",[27],"כותרות HTTP הן הוראות שהשרת מחזיר, והמשמעות שלהן תלויה בסוג התגובה ובתמיכת הדפדפן. הטבלה מציגה שימושים עיקריים ואינה תצורת שרת מוכנה. OWASP מפרט התאמת סוג תוכן, צמצום ניחוש סוג קובץ ושליטה במידע הפניה; לכל בחירה צריך לצרף בדיקת תפקוד.",{"caption":29,"headers":30,"rows":34},"מטרת הכותרת ובדיקת הקבלה",[31,32,33],"כותרת או מנגנון","שאלת האבטחה","מה לבדוק באתר",[35,39,43,47,51],[36,37,38],"Content-Security-Policy","אילו מקורות ופעולות מותרים למסמך","טפסים, סקריפטים ושירותי צד שלישי",[40,41,42],"Strict-Transport-Security","מתי הדפדפן דורש HTTPS","תעודות, תתי דומיינים ותחזוקה",[44,45,46],"X-Content-Type-Options","כיצד מטופל סוג התוכן המוצהר","סוג תוכן נכון גם במשאבים",[48,49,50],"Referrer-Policy","כמה מידע הפניה נשלח","קישורים פנימיים וחיצוניים רלוונטיים",[52,53,54],"frame-ancestors ב-CSP","מי רשאי להטמיע את הדף במסגרת","הטמעות עסקיות שצריכות להישאר תקינות",[56],{"label":57,"url":58},"OWASP: תפקידי כותרות HTTP ומגבלותיהן","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FHTTP_Headers_Cheat_Sheet.html",{"title":60,"paragraphs":61,"sources":64},"CSP דורשת התאמה, בדיקה והחלטה על אכיפה",[62,63],"CSP יכולה להגביל משאבים ופעולות במסמך, אך המדיניות חייבת להתאים ליישום. לפני אכיפה ממפים תלויות ובוחנים את ההפרות בסביבה מתאימה. מצב Report-Only מאפשר לבחון מדיניות בלי לאכוף אותה; עצם קיומו אינו אומר שהמשאבים המפרים נחסמים. קבלת דוחות גם אינה הוכחה שכל תהליך באתר נבדק.","לדוגמה, צריך לברר אילו סקריפטים, מסגרות, יעדי טפסים וחיבורי דפדפן נחוצים, ולא לאשר כל מקור תחת כלל רחב אחד. רשימת מקורות לבדה אינה מספיקה לכל יישום. אם נדרש שינוי בדרך יצירת הסקריפטים או בדפים דינמיים, מתאמים אותו עם האחראי לקוד לפני מעבר לאכיפה. ערך CSP במילון מסביר את המנגנון; כאן המטרה היא תוכנית שינוי שניתן לבדוק.",[65,68],{"label":66,"url":67},"MDN: מדיניות CSP ובדיקה במצב דיווח","https:\u002F\u002Fdeveloper.mozilla.org\u002Fen-US\u002Fdocs\u002FWeb\u002FHTTP\u002FGuides\u002FCSP",{"label":69,"url":70},"OWASP: תכנון והטמעת CSP","https:\u002F\u002Fcheatsheetseries.owasp.org\u002Fcheatsheets\u002FContent_Security_Policy_Cheat_Sheet.html",{"title":72,"paragraphs":73},"מה דורש זהירות מיוחדת לפני שינוי",[74,75],"HSTS יכול להשפיע על כניסות עתידיות של דפדפנים שנחשפו למדיניות, ולכן בודקים מוכנות HTTPS והיקף תתי הדומיינים לפני הרחבה או התחייבות ממושכת. מדריך HSTS הנפרד מסביר את ההחלטה. אין להפעיל אפשרות רחבה רק כדי להשלים שורה בדוח, בלי להבין מי מנהל את כל השמות שבהיקף.","כותרת שמגבילה הטמעה עלולה לשנות עבודה של מערכת שמציגה את האתר במסגרת, ו-CSP יכולה להפריע לחיבור שלא מופה. גם הגדרה שנחשבת מחמירה אינה מוצלחת אם היא גורמת לצוות לעקוף אותה באופן קבוע. כשאין רשימת תלות או דרך חזרה, עוצרים לתכנון ולניסוי ולא עורכים כמה שכבות בו זמנית.",{"title":77,"paragraphs":78},"דוגמה: עמוד תוכן עובד וטופס הפנייה מפסיק להישלח",[79,80],"בתרחיש להמחשה בלבד, בדיקת דף הבית נראית תקינה אחרי החמרת מדיניות, אך טופס משתמש ביעד שלא נכלל במיפוי. המבקר רואה את העמוד, ובכל זאת הפעולה העסקית נכשלת. בדיקת כותרת בודדת אינה מגלה בהכרח את החוויה הזאת. לכן כוללים מסלול מילוי תקין, שגיאת קלט ומצב הצלחה במבחן הקבלה.","אם מתגלה חסימה, מזהים את ההוראה והיעד, בודקים שהוא נחוץ ומורשה, ומתקנים את המדיניות בהיקף הנדרש. לא פותחים את כל המקורות כדי להשתיק את ההודעה. משתמשים בנתוני ניסיון ובמניעת שליחות אמת לא מתואמות, ושומרים תיעוד של המצב לפני ואחרי השינוי.",{"title":82,"paragraphs":83,"example":86},"בדיקת סיום היא גם אבטחה וגם עבודה תקינה",[84,85],"בדקו את התגובה הסופית לדפים מייצגים, כולל הבדלים בין נתיב ישיר, הפניה ומצב שגיאה רלוונטי. ודאו ששכבות הפריסה מחזירות את המדיניות שהתכוונתם אליה, שאין כללים לא צפויים ושנבדק גם דפדפן. בדיקת קוד מקומי לבדה אינה מוכיחה מה מוגש בשרת החי.","סוגרים את השינוי עם רשימת התהליכים שנבדקו, חריגות ידועות, אחראי ומועד בדיקה מחדש. בדוח מפרידים בין מדיניות במצב דיווח למדיניות נאכפת. כותרות אינן מחליפות תיקון חולשות, ניהול הרשאות או טיפול בסוד שנחשף; שיפורן הוא חלק מתוכנית אבטחת האתר.",{"title":87,"text":88},"רשומת שינוי לכותרות אבטחה","שכבה אחראית: __. נתיבים שנבדקו: __. תלות חיצונית: __. מדיניות קודמת וחדשה: __. מצב דיווח או אכיפה: __. תוצאות טופס וכניסה: __. חריגה ואחראי: __. דרך חזרה מתואמת: __.",[90,91,92,93,94],"מופו סוגי תגובות ותלויות חיצוניות.","זוהתה השכבה שקובעת את הכותרות.","מצב דיווח הופרד מאכיפה.","נבדקו דפים מייצגים ותהליכים עסקיים.","נשמרו חריגות, דרך חזרה ואחריות לתחזוקה.",[96,99,102],{"question":97,"answer":98},"אפשר להעתיק קובץ הגדרות מאתר אחר?","לא כפתרון מוכן: תלויות, סוגי תוכן ושכבות פריסה שונים בין אתרים. משתמשים בהנחיות מקצועיות ומאמתים את ההתאמה והתפקוד.",{"question":100,"answer":101},"CSP במצב Report-Only כבר חוסמת תקיפות?","המדיניות המסוימת במצב זה אינה נאכפת. היא מיועדת לבחינת הפרות ודיווח. מדיניות אחרת שנשלחת במקביל עשויה להיאכף וצריך לבדוק כל אחת בנפרד.",{"question":103,"answer":104},"כותרות תקינות אומרות שאין חולשות באתר?","לא, הן מתייחסות לבקרות מסוימות בתגובות ובדפדפן. חולשות קוד, הרשאות, תוספים ותהליכים דורשים בדיקות נוספות.",[106,107,108],{"label":57,"url":58},{"label":66,"url":67},{"label":69,"url":70},[110,113,116,119,121],{"path":111,"label":112},"\u002Fglossary\u002Fcsp","מה זה CSP",{"path":114,"label":115},"\u002Fglossary\u002Fhsts","משמעות HSTS וההכנה הנדרשת",{"path":117,"label":118},"\u002Fblog\u002Fhttp-security-score-limits","מה ציון סריקה כן ולא מוכיח",{"path":13,"label":120},"הגדרות Cloudflare והגנת האתר",{"path":12,"label":122},"בדיקת אבטחה ותוכנית תיקון",{"title":124,"description":125,"button":126,"type":127},"רוצים לשפר כותרות בלי לפגוע בתהליכי האתר?","נמפה שכבות ותלויות ונגדיר שינוי ובדיקת קבלה בהתאם לאתר ולשירותים שהוא מפעיל.","לתיאום בדיקה וטיפול","check",[129,137,145,153],{"id":130,"path":117,"title":131,"description":132,"category":133,"artwork":134,"order":135,"publishedOn":136},"P082","האם ציון אבטחה גבוה אומר שהאתר בטוח? כך קוראים דוח","איך לפרש ציון אבטחת אתר: מה נסרק, מה לא נבדק ואיך מתעדפים תיקונים לפי חשיפה ותהליך עסקי. כולל טבלת החלטה ותבנית מסירה.","infrastructure","security-diagnostics",55,"2026-08-17",{"id":138,"path":139,"title":140,"description":141,"category":133,"artwork":142,"order":143,"publishedOn":144},"P115","\u002Fblog\u002Fdomain-expiry-risk","איך מונעים אובדן דומיין עסקי: בעלות, חידוש ושחזור","ניהול דומיין עסקי: רשם ובעלות, אנשי קשר, חידוש ותשלום, גישה חלופית ותוכנית במקרה פקיעה. בלי להניח מועדי חסד אחידים.","domain-renewal",70,"2026-09-12",{"id":146,"path":147,"title":148,"description":149,"category":133,"artwork":150,"order":151,"publishedOn":152},"P184","\u002Fblog\u002Flinux-server-hardening","הקשחת שרת לינוקס לעסק: מה בודקים ואיך מוסרים שינוי","תוכנית הקשחת Linux לפי נכס ותפקיד: גרסה, עדכונים, גישה, שירותים, סודות, לוגים ושחזור. טבלת קבלה ותהליך שינוי בלי סקריפט גורף.","servers",48,"2026-08-01",{"id":154,"path":155,"title":156,"description":157,"category":133,"artwork":158,"order":159,"publishedOn":160},"P075","\u002Fblog\u002Fcloudflare-origin-exposure","שרת המקור חשוף מאחורי Cloudflare: איך בודקים את גבול ההגנה","מה המשמעות של גישה ישירה לשרת המקור: מיפוי פרוקסי, מקטעי TLS, הגבלת גישה ובדיקות מורשות בלי לשבש ניטור ואינטגרציות.","security",78,"2026-09-22",[],null,{"path":164,"label":165},"\u002Fresources","כלים ורשימות בדיקה לאבטחת העסק: משאבים שימושיים",{"path":167,"label":168},"\u002Fglossary","מילון סייבר בעברית: מושגים עם הסברים מעשיים",1794134062670]