nginxでSSL設定した際の追加セキュリティ設定

linux

下記を参考に
インストール直後のnginxからSSL評価A+とセキュリティ強化を行う手順メモ
Webアプリケーションのおすすめセキュリティ設定

/etc/nginx/nginx.conf
・http {　内

server_tokens off
add_header X-XSS-Protection "1; mode=block";
add_header X-Frame-Options DENY;
add_header Strict-Transport-Security "max-age=31536000; includeSubdomains";
add_header X-XSS-Protection "0";
add_header X-Content-Type-Options nosniff;
add_header X-Download-Options "noopen";
ssl_protocols TLSv1 TLSv1.1 TLSv1.2;
ssl_ciphers ECDHE+RSAGCM:ECDH+AESGCM:DH+AESGCM:ECDH+AES256:DH+AES256:ECDH+AES128:DH+AES:!EXPORT:!DES:!3DES:!MD5:!DSS;
ssl_dhparam /etc/ssl/certs/dhparam.pem


設定後はQualysのSSL　ServerTestを受けてチェック
SSL Server Test

設定できてればA+はもらえる

のどかわーくす