{"id":4303,"date":"2026-07-14T11:44:08","date_gmt":"2026-07-14T09:44:08","guid":{"rendered":"https:\/\/www.sycope.com\/narzedzia-sieciowe\/naglowki-bezpieczenstwa"},"modified":"2026-07-14T11:47:20","modified_gmt":"2026-07-14T09:47:20","slug":"naglowki-bezpieczenstwa","status":"publish","type":"page","link":"https:\/\/www.sycope.com\/pl\/narzedzia-sieciowe\/naglowki-bezpieczenstwa","title":{"rendered":"Nag\u0142\u00f3wki bezpiecze\u0144stwa"},"content":{"rendered":"<div class=\"syc-wrap\" id=\"security-headers\">\t<div class=\"syc-card syc-sech\">\n\t\t<div class=\"syc-card__head\">\n\t\t\t<h3 class=\"syc-card__title\"><span class=\"material-symbols-outlined\" aria-hidden=\"true\">shield<\/span> Nag\u0142\u00f3wki bezpiecze\u0144stwa<\/h3>\n\t\t\t<p class=\"syc-card__sub\">Sprawd\u017a, jakie nag\u0142\u00f3wki bezpiecze\u0144stwa HTTP wysy\u0142a strona i co warto poprawi\u0107.<\/p>\n\t\t<\/div>\n\t\t\t\t<form class=\"syc-sech__form\">\n\t\t\t<div class=\"syc-row\">\n\t\t\t\t<input class=\"syc-input syc-input--mono syc-sech__url\" type=\"text\" inputmode=\"url\" autocomplete=\"off\" spellcheck=\"false\" placeholder=\"np. sycope.com\" value=\"\" \/>\n\t\t\t\t<button class=\"syc-btn syc-sech__go\" type=\"submit\" style=\"flex:0 0 auto;\">Skanuj<\/button>\n\t\t\t<\/div>\n\t\t<\/form>\n\t\t<div class=\"syc-sech__out\" aria-live=\"polite\"><\/div>\n\t<\/div>\n\t<style id=\"syc-cta-css\">.syc-cta { margin: 1.4rem 0 0; padding: 1.4rem 1.5rem; border: 1px solid #d9defa; border-radius: var(--syc-radius); background: linear-gradient(100deg, #eef2ff, #f5f1ff); display: flex; flex-wrap: wrap; align-items: center; justify-content: space-between; gap: 1rem 1.5rem; } .syc-cta__body { flex: 1 1 380px; min-width: 0; } .syc-cta__eyebrow { margin: 0 0 .35rem; font-size: .75rem; font-weight: 700; letter-spacing: .08em; text-transform: uppercase; color: var(--syc-green); } .syc-cta__lead { margin: 0 0 .35rem; font-size: 1.05rem; font-weight: 700; color: var(--syc-ink); } .syc-cta__text { margin: 0; font-size: .92rem; color: #333; max-width: 60ch; } .syc-cta .syc-cta__btn { flex: 0 0 auto; text-decoration: none; white-space: nowrap; } @media (max-width: 600px) { .syc-cta { padding: 1.2rem; } .syc-cta .syc-cta__btn { white-space: normal; width: 100%; text-align: center; font-size: .95rem; line-height: 1.3; padding: .75em 1.2em; } }<\/style><aside class=\"syc-cta\" data-syc-cta=\"security-headers\"><div class=\"syc-cta__body\"><p class=\"syc-cta__eyebrow\">Wyjd\u017a poza konfiguracj\u0119<\/p><p class=\"syc-cta__lead\">Nag\u0142\u00f3wki bezpiecze\u0144stwa chroni\u0105 aplikacj\u0119. Sycope Free pomaga pilnowa\u0107 sieci wok\u00f3\u0142 niej.<\/p><p class=\"syc-cta__text\">Dodaj widoczno\u015b\u0107 ruchu sieciowego do swoich zabezpiecze\u0144 i wykrywaj nietypow\u0105 komunikacj\u0119, podejrzane po\u0142\u0105czenia i zachowania, kt\u00f3rych skan konfiguracji nie zobaczy.<\/p><\/div><a class=\"syc-btn syc-cta__btn\" href=\"https:\/\/www.sycope.com\/pl\/darmowa-wersja\">Zyskaj widoczno\u015b\u0107 sieci z Sycope Free <span aria-hidden=\"true\">&rarr;<\/span><\/a><\/aside><\/div>\n<p>Skaner sprawdza, jakie nag\u0142\u00f3wki bezpiecze\u0144stwa HTTP wysy\u0142a Twoja strona, i wystawia ocen\u0119 od A+ do F \u2014 podobnie jak securityheaders.com. Do ka\u017cdego brakuj\u0105cego nag\u0142\u00f3wka dostajesz gotow\u0105 rekomendacj\u0119, a ostrze\u017cenia wskazuj\u0105 s\u0142abe punkty konfiguracji.<\/p>\n<h2 id=\"czym-s\u0105-nag\u0142\u00f3wki-bezpiecze\u0144stwa-http\">Czym s\u0105 nag\u0142\u00f3wki bezpiecze\u0144stwa HTTP?<\/h2>\n<p>Przy ka\u017cdej odpowiedzi serwer WWW wysy\u0142a do przegl\u0105darki zestaw nag\u0142\u00f3wk\u00f3w HTTP \u2014 technicznych metadanych opisuj\u0105cych tre\u015b\u0107. Cz\u0119\u015b\u0107 z nich to instrukcje bezpiecze\u0144stwa: m\u00f3wi\u0105 przegl\u0105darce, czego na tej stronie robi\u0107 nie wolno. Dobrze ustawione nag\u0142\u00f3wki bezpiecze\u0144stwa neutralizuj\u0105 ca\u0142e klasy atak\u00f3w \u2014 cross-site scripting (XSS), clickjacking czy pods\u0142uchiwanie nieszyfrowanego ruchu \u2014 zanim jakikolwiek z\u0142o\u015bliwy skrypt zd\u0105\u017cy zadzia\u0142a\u0107.<\/p>\n<p>To jedna z najta\u0144szych inwestycji w bezpiecze\u0144stwo aplikacji webowej: nie wymaga zmian w kodzie, a jedynie kilku linijek w konfiguracji serwera lub CDN. Mimo to wi\u0119kszo\u015b\u0107 stron w internecie nie wysy\u0142a nawet podstawowego zestawu \u2014 co skaner bezlito\u015bnie obna\u017ca.<\/p>\n<h2 id=\"jak-korzysta\u0107-ze-skanera\">Jak korzysta\u0107 ze skanera?<\/h2>\n<ol type=\"1\">\n<li><strong>Wpisz adres strony<\/strong> \u2014 wystarczy domena, np. <code>sycope.com<\/code>.<\/li>\n<li><strong>Kliknij \u201eSkanuj&#8221;<\/strong> \u2014 pobierzemy nag\u0142\u00f3wki odpowiedzi z naszego serwera.<\/li>\n<li><strong>Odczytaj wynik<\/strong> \u2014 du\u017c\u0105 liter\u0119 oceny (A+\u2026F), chipy z obecnymi i brakuj\u0105cymi nag\u0142\u00f3wkami, list\u0119 brak\u00f3w z rekomendacjami oraz ostrze\u017cenia dotycz\u0105ce warto\u015bci, kt\u00f3re warto poprawi\u0107. Na ko\u0144cu mo\u017cesz rozwin\u0105\u0107 surowe nag\u0142\u00f3wki odpowiedzi.<\/li>\n<\/ol>\n<p>Ocena ro\u015bnie wraz z liczb\u0105 kluczowych nag\u0142\u00f3wk\u00f3w; najwy\u017csze A+ wymaga kompletu z HSTS gotowym do preloadu. Ostrze\u017cenia nie obni\u017caj\u0105 litery tak mocno jak braki, ale wskazuj\u0105 konfiguracje os\u0142abiaj\u0105ce ochron\u0119 \u2014 np. dyrektywy <code>unsafe-inline<\/code> czy <code>unsafe-eval<\/code> w polityce CSP.<\/p>\n<h2 id=\"najwa\u017cniejsze-nag\u0142\u00f3wki-i-to-przed-czym-chroni\u0105\">Najwa\u017cniejsze nag\u0142\u00f3wki i to, przed czym chroni\u0105<\/h2>\n<ul>\n<li><strong>Strict-Transport-Security (HSTS)<\/strong> \u2014 wymusza HTTPS: po pierwszej wizycie przegl\u0105darka nie spr\u00f3buje ju\u017c po\u0142\u0105czenia nieszyfrowanego, co ucina ataki typu SSL-stripping. Z dyrektyw\u0105 <code>preload<\/code> domen\u0119 mo\u017cna zg\u0142osi\u0107 na list\u0119 wbudowan\u0105 w przegl\u0105darki.<\/li>\n<li><strong>Content-Security-Policy (CSP)<\/strong> \u2014 okre\u015bla, sk\u0105d wolno \u0142adowa\u0107 skrypty, style czy obrazy. To najskuteczniejsza zapora przeciw XSS, ale i najtrudniejszy nag\u0142\u00f3wek: polityka z <code>unsafe-inline<\/code> os\u0142abia ochron\u0119 niemal do zera.<\/li>\n<li><strong>X-Frame-Options<\/strong> \u2014 zabrania osadzania strony w ramce na obcych witrynach, co blokuje clickjacking, czyli podk\u0142adanie niewidzialnych przycisk\u00f3w pod kursor u\u017cytkownika. Nowocze\u015bniejszy odpowiednik to dyrektywa <code>frame-ancestors<\/code> w CSP.<\/li>\n<li><strong>X-Content-Type-Options<\/strong> \u2014 warto\u015b\u0107 <code>nosniff<\/code> zabrania przegl\u0105darce zgadywania typu tre\u015bci, co ucina sztuczki z podstawianiem z\u0142o\u015bliwych plik\u00f3w udaj\u0105cych obrazki.<\/li>\n<li><strong>Referrer-Policy<\/strong> \u2014 kontroluje, ile informacji o adresie \u017ar\u00f3d\u0142owym wycieka przy przechodzeniu na inne strony.<\/li>\n<li><strong>Permissions-Policy<\/strong> \u2014 wy\u0142\u0105cza niepotrzebne API przegl\u0105darki (kamera, mikrofon, geolokalizacja), ograniczaj\u0105c pole ataku.<\/li>\n<\/ul>\n<p>Historyczny <code>X-XSS-Protection<\/code> nie jest ju\u017c wymagany \u2014 wsp\u00f3\u0142czesne przegl\u0105darki usun\u0119\u0142y ten mechanizm, a ochron\u0119 przed cross-site scripting przej\u0119\u0142a CSP.<\/p>\n<h2 id=\"jak-wdro\u017cy\u0107-brakuj\u0105ce-nag\u0142\u00f3wki\">Jak wdro\u017cy\u0107 brakuj\u0105ce nag\u0142\u00f3wki?<\/h2>\n<p>Nag\u0142\u00f3wki dodaje si\u0119 w konfiguracji serwera WWW \u2014 w Apache przez <code>Header set<\/code> w konfiguracji vhosta, w nginx przez <code>add_header<\/code>, a przy korzystaniu z CDN (np. Cloudflare) w panelu us\u0142ugi. Skaner podaje przy ka\u017cdym braku gotow\u0105, bezpieczn\u0105 warto\u015b\u0107 startow\u0105, kt\u00f3r\u0105 mo\u017cna wklei\u0107 do konfiguracji.<\/p>\n<p>Kolejno\u015b\u0107 ma znaczenie: zacznij od bezproblemowych <code>X-Content-Type-Options<\/code>, <code>X-Frame-Options<\/code> i <code>Referrer-Policy<\/code>, potem w\u0142\u0105cz HSTS (najpierw z kr\u00f3tkim <code>max-age<\/code>, docelowo rok i <code>preload<\/code>), a CSP wdra\u017caj na ko\u0144cu \u2014 najlepiej etapami, zaczynaj\u0105c od trybu raportowania (<code>Content-Security-Policy-Report-Only<\/code>), kt\u00f3ry loguje naruszenia bez blokowania tre\u015bci. Po ka\u017cdej zmianie przeskanuj stron\u0119 ponownie.<\/p>\n<p>Warto pami\u0119ta\u0107, \u017ce nag\u0142\u00f3wki chroni\u0105 przegl\u0105dark\u0119 u\u017cytkownika, ale nie zast\u0119puj\u0105 monitoringu samej infrastruktury \u2014 skuteczna ochrona \u0142\u0105czy hardening aplikacji z widoczno\u015bci\u0105 ruchu sieciowego, jak\u0105 daj\u0105 systemy klasy NDR pokroju Sycope.<\/p>\n<h2 id=\"najcz\u0119stsze-pytania-faq\">Najcz\u0119stsze pytania (FAQ)<\/h2>\n<h3 id=\"co-oznacza-ocena-f-w-skanerze\">Co oznacza ocena F w skanerze?<\/h3>\n<p>Strona nie wysy\u0142a \u017cadnego z kluczowych nag\u0142\u00f3wk\u00f3w bezpiecze\u0144stwa. Przegl\u0105darka nie dostaje wi\u0119c instrukcji ochronnych, a u\u017cytkownicy s\u0105 zdani wy\u0142\u0105cznie na jej domy\u015blne mechanizmy. Braki warto uzupe\u0142ni\u0107 w pierwszej kolejno\u015bci \u2014 to zmiany konfiguracyjne, nie programistyczne.<\/p>\n<h3 id=\"jak-zdoby\u0107-ocen\u0119-a\">Jak zdoby\u0107 ocen\u0119 A+?<\/h3>\n<p>Wymagany jest komplet kluczowych nag\u0142\u00f3wk\u00f3w, w tym Strict-Transport-Security z d\u0142ugim <code>max-age<\/code>, dyrektywami <code>includeSubDomains<\/code> i <code>preload<\/code> \u2014 czyli konfiguracj\u0105 kwalifikuj\u0105c\u0105 domen\u0119 na list\u0119 preload przegl\u0105darek.<\/p>\n<h3 id=\"czy-csp-mo\u017ce-zepsu\u0107-moj\u0105-stron\u0119\">Czy CSP mo\u017ce zepsu\u0107 moj\u0105 stron\u0119?<\/h3>\n<p>Mo\u017ce \u2014 zbyt restrykcyjna polityka zablokuje skrypty, style lub czcionki, z kt\u00f3rych strona korzysta. Dlatego CSP wdra\u017ca si\u0119 etapami, zaczynaj\u0105c od trybu Report-Only i analizuj\u0105c raporty narusze\u0144 przed w\u0142\u0105czeniem egzekwowania.<\/p>\n<h3 id=\"dlaczego-skaner-ostrzega-przed-unsafe-inline\">Dlaczego skaner ostrzega przed unsafe-inline?<\/h3>\n<p>Dyrektywa <code>unsafe-inline<\/code> pozwala wykonywa\u0107 skrypty osadzone bezpo\u015brednio w HTML \u2014 a to dok\u0142adnie ten wektor, kt\u00f3rym pos\u0142uguje si\u0119 XSS. Polityka CSP z t\u0105 dyrektyw\u0105 chroni znacznie s\u0142abiej; docelowo zast\u0119puje si\u0119 j\u0105 mechanizmami nonce lub hash.<\/p>\n<h3 id=\"czy-te-nag\u0142\u00f3wki-wp\u0142ywaj\u0105-na-seo-albo-szybko\u015b\u0107-strony\">Czy te nag\u0142\u00f3wki wp\u0142ywaj\u0105 na SEO albo szybko\u015b\u0107 strony?<\/h3>\n<p>Na szybko\u015b\u0107 praktycznie nie \u2014 to kilkaset bajt\u00f3w w odpowiedzi. Po\u015brednio pomagaj\u0105: HSTS eliminuje zb\u0119dne przekierowania przy powrotach na stron\u0119, a bezpieczna, dzia\u0142aj\u0105ca po HTTPS witryna to standard oczekiwany przez wyszukiwarki.<\/p>\n<h3 id=\"czym-r\u00f3\u017cni-si\u0119-x-frame-options-od-frame-ancestors\">Czym r\u00f3\u017cni si\u0119 X-Frame-Options od frame-ancestors?<\/h3>\n<p>Oba mechanizmy blokuj\u0105 osadzanie strony w ramkach. <code>X-Frame-Options<\/code> to starszy, prostszy nag\u0142\u00f3wek (DENY\/SAMEORIGIN), a <code>frame-ancestors<\/code> w CSP daje precyzyjn\u0105 kontrol\u0119, np. pozwala na osadzanie tylko z konkretnych domen. Bezpiecznie jest wysy\u0142a\u0107 oba.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Skaner sprawdza, jakie nag\u0142\u00f3wki bezpiecze\u0144stwa HTTP wysy\u0142a Twoja strona, i wystawia ocen\u0119 od A+ do F \u2014 podobnie jak securityheaders.com. Do ka\u017cdego brakuj\u0105cego nag\u0142\u00f3wka dostajesz gotow\u0105 rekomendacj\u0119, a ostrze\u017cenia wskazuj\u0105 s\u0142abe punkty konfiguracji. Czym s\u0105 nag\u0142\u00f3wki bezpiecze\u0144stwa HTTP? Przy ka\u017cdej odpowiedzi serwer WWW wysy\u0142a do przegl\u0105darki zestaw nag\u0142\u00f3wk\u00f3w HTTP \u2014 technicznych metadanych opisuj\u0105cych tre\u015b\u0107. Cz\u0119\u015b\u0107 [&hellip;]<\/p>\n","protected":false},"author":0,"featured_media":0,"parent":4291,"menu_order":0,"comment_status":"closed","ping_status":"closed","template":"","meta":{"_acf_changed":false,"footnotes":""},"class_list":["post-4303","page","type-page","status-publish","hentry"],"acf":[],"_links":{"self":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/pages\/4303","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/pages"}],"about":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/types\/page"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/comments?post=4303"}],"version-history":[{"count":1,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/pages\/4303\/revisions"}],"predecessor-version":[{"id":4312,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/pages\/4303\/revisions\/4312"}],"up":[{"embeddable":true,"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/pages\/4291"}],"wp:attachment":[{"href":"https:\/\/www.sycope.com\/pl\/wp-json\/wp\/v2\/media?parent=4303"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}