Нужны ли заголовки безопасности (STS, CSP, X-Frame-Options и т. Д.) При перенаправлении?
Есть ли какая-либо польза от отправки связанных с безопасностью заголовков HTTP для пути, который сразу же перенаправляется в другое место? Некоторые, которые приходят на ум, включают в себя:
- Строгий-Transport-Security
- Content-Security-Policy
- X-Content-Type-Options
- X-Frame-Options
- X-XSS-Protection
- и т.п.
Например, если https://example.com/ 302 перенаправляет на https://example.net/, есть ли какая-либо польза от отправки этих заголовков с example.com? Обсерватория Mozilla говорит, что нет; он игнорирует заголовки с любого пути, который перенаправляет в другое место. Но все ли клиенты делают это?