Strict-Transport-Security max-age =31536000; preload ; includeSubDomains Buono Dichiara che un sito Web è accessibile solo tramite una connessione sicura (HTTPS). X-Frame-Options DENY Buono Indica se a un browser deve essere consentito di eseguire il rendering di una pagina in un <frame>, <iframe>, <embed> o <object>. X-Content-Type-Options nosniff Buono Indica che i tipi MIME pubblicizzati nelle intestazioni Content-Type devono essere seguiti e non modificati. Content-Security-Policy default-src 'self' data:; script-src 'self' 'unsafe-inline' data: *.fbcdn.net www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/ 'wasm-unsafe-eval' gw.conversionsapigateway.com; style-src 'self' 'unsafe-inline' data: *.fbcdn.net 'unsafe-eval' www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/; connect-src blob: *.fbcdn.net www.meta.com *.www.meta.com wss://edge-chat.www.meta.com https://edge-chat.www.meta.com www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/ gw.conversionsapigateway.com; font-src data: *.fbcdn.net www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/; img-src 'self' blob: data: *.fbcdn.net *.fbsbx.com *.oculuscdn.com *.cdninstagram.com www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/ gw.conversionsapigateway.com; media-src blob: data: lookaside.fbsbx.com *.fbcdn.net *.cdninstagram.com *.oculuscdn.com; child-src blob: data: *.fbcdn.net; frame-src data: *.fbcdn.net www.meta.com/common/ *.www.meta.com/common/ *.fbsbx.com/ www.meta.com/tealium/ *.www.meta.com/tealium/ www.meta.com/payments/ *.www.meta.com/payments/ *.fbthirdpartypixel.com www.meta.com/3ds2/ddc/ www.meta.com/3ds2/challenge_complete/ centinelapi.cardinalcommerce.com centinelapistag.cardinalcommerce.com gw.conversionsapigateway.com; worker-src blob: data: *.fbcdn.net; block-all-mixed-content ; upgrade-insecure-requests ; report-uri https://www.facebook.com/csp/reporting/?m=c&minimize=0; Buono Controlla le risorse che l'agente utente può caricare per una determinata pagina. Referrer-Policy — Buono Controlla la quantità di informazioni sul referrer che devono essere incluse nelle richieste. Clear-Site-Data — Buono Controlla i dati memorizzati da un browser client per le loro origini. X-Permitted-Cross-Domain-Policies — Buono Controlla se un client Web come Adobe Flash Player o Adobe Acrobat dispone dell'autorizzazione per gestire i dati tra domini. Permissions-Policy — Nuovo Consenti e nega l'uso delle funzionalità del browser in un documento o iframe. Cross-Origin-Embedder-Policy — Nuovo Configura l'incorporamento di risorse multiorigine nel documento. Cross-Origin-Opener-Policy same-origin-allow-popups Nuovo Assicurati che un documento di livello superiore non condivida un gruppo di contesti di navigazione con documenti di più origini. Cross-Origin-Resource-Policy — Nuovo Richiedere che il browser blocchi le richieste multiorigine/tra siti no-cor alla risorsa specificata. X-XSS-Protection 0 Obsoleto Obsoleto. Impedisce il caricamento delle pagine quando rilevano attacchi XSS (cross-site scripting) riflessi. Feature-Policy — Obsoleto Obsoleto. Sostituito dall'intestazione Permissions-Policy. Expect-CT — Obsoleto Obsoleto. Accetta la segnalazione e/o l'applicazione dei requisiti di trasparenza dei certificati. Public-Key-Pins — Obsoleto Obsoleto. Consente ai siti Web HTTPS di resistere alla rappresentazione da parte di autori di attacchi che utilizzano certificati emessi erroneamente o altrimenti fraudolenti.