Küçük işletme sitelerinin yarısı temel güvenlik başlıklarını kullanmıyor

RACKCRUNCH tarafından yayımlanan araştırma, ABD merkezli yerel işletmelere ait 4 bin 688 web sitesinin güvenlik başlığı kullanımını inceledi. Curlie dizininden taranan ve geçerli HTTP 200 yanıtı veren sitelerin yüzde 49,7'sinin belirlenen yedi temel güvenlik kriterinden hiçbirini karşılamadığı belirlendi. En yaygın kullanılan başlık yüzde 43,8 ile HSTS olurken, en çok sağlanan kriter yüzde 39,7 ile "X-Content-Type-Options: nosniff" olarak kayıtlara geçti. En az bir yıl süreli ve alt alan adlarını kapsayan güçlü HSTS kuralını ise sitelerin yalnızca yüzde 12,3'ü karşıladı.

Araştırmacılar sitelerin yüzde 21,2'sinde İçerik Güvenliği Politikası (CSP) bulunduğunu tespit etti ancak bu kuralların içeriklerini incelediklerinde tablonun değiştiğini aktardı. Uygulanan CSP kurallarının çoğunluğunun çerçeveleme veya güvenli bağlantıya yükseltme yönergelerinden ibaret olduğu, komut dosyalarını kısıtlayan bir kural içermediği görüldü. İncelenen 4 bin 688 alan adından yalnızca sekizinin komut dosyası kısıtlama testini başarıyla geçtiği ve bu oranın yüzde 0,17 seviyesinde kaldığı bildirildi. Ayrıca sitelerin yüzde 20,5'inin sunucu yazılımı sürüm bilgilerini dışarıya sızdırdığı kaydedildi.

Sektörel ve altyapı bazlı analizlerde barındırma platformlarının varsayılan ayarlarının sonuçları doğrudan etkilediği görüldü. Alışveriş kategorisindeki siteler platform varsayılanları sayesinde daha yüksek uyum oranları yakalarken, teknoloji odaklı işletmelerin yer aldığı kategorideki sitelerin yüzde 58'inin hiçbir kriteri karşılamadığı ortaya çıktı. Shopify ve barındırma tabanlı hazır site oluşturucuların belirli başlıkları otomatik olarak eklediği, bağımsız Apache veya IIS çalıştıran geleneksel sunucularda ise benimsenme oranlarının çok daha düşük kaldığı belirtildi.