Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Ciasteczko bez zabezpieczeń (session : Secure, SameSite). Ciasteczko bez Secure może iść bez szyfrowania, bez HttpOnly odczyta je wstrzyknięty skrypt, bez SameSite jest wysyłane z zapytaniami z innych stron. Popraw to w kodzie albo konfiguracji projektu: Dodaj Secure, HttpOnly i SameSite=Lax do ciasteczek sesji. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Strict-Transport-Security (https://boutique-martin.fr). Bez tego nagłówka przeglądarka może jeszcze otworzyć nieszyfrowaną wersję strony. Popraw to w kodzie albo konfiguracji projektu: Dodaj nagłówek Strict-Transport-Security: max-age=31536000; includeSubDomains. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Strona działa też bez HTTPS (http://boutique-martin.fr/). Wersja http:// nie przekierowuje na https://: w publicznym Wi-Fi ktoś może podejrzeć albo zmienić to, co widzi odwiedzający. Popraw to w kodzie albo konfiguracji projektu: Włącz automatyczne przekierowanie na HTTPS w ustawieniach hostingu. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Kod źródłowy opublikowany razem z mapami źródeł (https://boutique-martin.fr/_next/static/chunks/main.js.map). Pliki .map pozwalają odtworzyć oryginalny kod źródłowy, razem z komentarzami. Popraw to w kodzie albo konfiguracji projektu: Wyłącz mapy źródeł na produkcji (na przykład productionBrowserSourceMaps: false, build.sourcemap: false) albo udostępniaj je tylko narzędziu do śledzenia błędów. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Content-Security-Policy (https://boutique-martin.fr). Ten nagłówek ogranicza skrypty, które strona może wczytać: mocno zmniejsza skutki luki XSS. Popraw to w kodzie albo konfiguracji projektu: Dodaj politykę Content-Security-Policy: zacznij od default-src 'self', potem dopisz potrzebne domeny. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Stronę można wyświetlić w ramce innej strony (https://boutique-martin.fr). Inna strona może wyświetlić Twoją w przezroczystej ramce i skłonić odwiedzających do kliknięć bez ich wiedzy (clickjacking). Popraw to w kodzie albo konfiguracji projektu: Dodaj Content-Security-Policy: frame-ancestors 'self' (albo X-Frame-Options: DENY). Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak nagłówka Referrer-Policy (https://boutique-martin.fr). Pełny adres Twoich stron (z parametrami) może trafiać do serwisów, które te strony wywołują. Popraw to w kodzie albo konfiguracji projektu: Dodaj nagłówek Referrer-Policy: strict-origin-when-cross-origin. Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.

Tamiso znalazło problem bezpieczeństwa na mojej stronie https://boutique-martin.fr: Brak pliku security.txt (https://boutique-martin.fr). Ktoś, kto znajdzie lukę, nie wie, do kogo napisać. Dla produktu sprzedawanego w UE Cyber Resilience Act wymaga kontaktu do zgłaszania podatności. Popraw to w kodzie albo konfiguracji projektu: Opublikuj /.well-known/security.txt z co najmniej linią Contact: i linią Expires: (RFC 9116). Napisz, co zmieniłeś i co muszę ustawić sam u hostingu.