TLS шифрует трафик

Логин и формы не отправляются по сети открытым текстом. Это снижает риск перехвата в промежуточной сети.

HSTS запрещает откат

После получения политики браузер старается открывать домен только по HTTPS и не использовать незашифрованный вариант.

CSP ограничивает контент

Content-Security-Policy задаёт допустимые источники скриптов и других ресурсов, уменьшая часть рисков внедрения нежелательного кода.

Дополнительные заголовки

X-Content-Type-Options, Referrer-Policy и Permissions-Policy закрывают отдельные браузерные сценарии.

Почему домен всё равно надо смотреть

Фишинговый сайт тоже может получить HTTPS-сертификат. Поэтому безопасное соединение и правильный домен проверяются вместе.

Аккаунт остаётся зоной ответственности пользователя

Уникальный пароль, закрытый экран телефона и осторожность с Telegram-ссылками остаются важными даже при хорошей серверной защите.

HTTPS шифрует канал, HSTS закрепляет HTTPS

TLS защищает данные при передаче между браузером и сервером. HSTS сообщает браузеру, что для домена нужно использовать только защищённое соединение. Вместе они снижают риск случайной передачи данных по обычному HTTP.

Почему сертификат не заменяет проверку адреса

Поддельный сайт тоже может получить действующий TLS-сертификат. Поэтому сначала смотрите на домен, а уже затем на замок в браузере. Защищённое соединение с неправильным сайтом остаётся неправильным сайтом.

Content-Security-Policy ограничивает источники

CSP задаёт браузеру список допустимых источников скриптов, изображений и других ресурсов. Это снижает поверхность атак, связанных с неожиданной загрузкой контента. Политика не заменяет обновления приложения, но добавляет ещё один технический барьер.

Защитные заголовки работают в фоне

X-Content-Type-Options, Referrer-Policy, Permissions-Policy и ограничения встраивания не видны пользователю как отдельная кнопка. Их задача — уменьшить лишние возможности браузера и передачу данных. Именно поэтому безопасность сайта складывается из нескольких небольших механизмов.

Уникальный пароль всё равно нужен

Если один пароль используется на разных сервисах, утечка вне Selector может затронуть и этот аккаунт. Уникальная комбинация и осторожность с автозаполнением остаются простыми и эффективными мерами пользователя.

Техническая защита состоит из нескольких независимых механизмов

HTTPS/TLS шифрует данные между браузером и сервером. HSTS закрепляет использование защищённого протокола. Content-Security-Policy ограничивает источники ресурсов, X-Frame-Options защищает от нежелательного встраивания, а Referrer-Policy и Permissions-Policy уменьшают передачу лишней информации и доступ к отдельным API браузера.

Ни один из этих механизмов не способен исправить ошибку, если пользователь сам открыл фишинговый домен. Поэтому правильный адрес, уникальный пароль и осторожность с ссылками остаются частью общей модели безопасности.

Практический порядок действий: HTTPS и HSTS в Selector

В практической ситуации полезно идти от факта к следующей проверке, а не менять всё сразу.

  1. TLS шифрует трафик. Сравните текущий статус с ожидаемым и зафиксируйте результат. Не переходите к следующему действию, пока не понятно, что произошло на этом этапе.
  2. HSTS запрещает откат. Сравните текущий статус с ожидаемым и зафиксируйте результат. Не переходите к следующему действию, пока не понятно, что произошло на этом этапе.
  3. CSP ограничивает контент. Сравните текущий статус с ожидаемым и зафиксируйте результат. Не переходите к следующему действию, пока не понятно, что произошло на этом этапе.
  4. Дополнительные заголовки. Сравните текущий статус с ожидаемым и зафиксируйте результат. Не переходите к следующему действию, пока не понятно, что произошло на этом этапе.

Главная цель — не сделать как можно больше действий, а найти первый этап, где сценарий перестал работать нормально.

Что пользователь может увидеть сам

Часть защитных механизмов скрыта в HTTP-заголовках, но HTTPS и домен видны в браузере. Это те проверки, которые доступны каждому без технических инструментов. Если браузер предупреждает о сертификате или соединении, не игнорируйте сообщение ради быстрого входа. Сначала разберитесь, почему предупреждение появилось.