# X-Content-Type-Options

> X-Content-Type-Options: nosniff je HTTP hlavička, ktorá prehliadaču zakáže hádať typ súboru, takže súbor sa nespustí ako niečo iné, než ako ho server poslal.

- **Číslo kontroly:** SEC5
- **Oblasť:** [Bezpečnosť](https://be1st.ai/sk/glossary/security)
- **Nástroj:** [SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit)
- **Stránka:** https://be1st.ai/sk/glossary/security/x-content-type-options

## Prečo na tom záleží

Bez nosniff hlavičky môže prehliadač interpretovať nahraný textový súbor ako JavaScript a spustiť ho. Útočník tak môže nahrať škodlivý kód zamaskovaný ako obrázok alebo textový súbor, ktorý prehliadač vykoná namiesto zobrazenia.

## V praxi

Dropbox.com posiela X-Content-Type-Options: nosniff pri všetkých odpovediach. Ak niekto nahrá súbor evil.jpg s obsahom JavaScript kódu, prehliadač ho vďaka nosniff spracuje striktne ako obrázok a skript nespustí.

## Ako to be1st kontroluje

Kontrola prítomnosti HTTP hlavičky X-Content-Type-Options s hodnotou nosniff. Táto hlavička zabraňuje prehliadaču v MIME type sniffingu: automatickom hádaní typu obsahu, ktoré môže viesť k interpretácii neškodného súboru ako spustiteľného skriptu.

[SEO + Bezpečnosť + Výkon](https://be1st.ai/sk/tools/ssp-audit), záložka Bezpečnosť.

Každá kontrola skončí ako: V poriadku, Varovanie, Chyba.

## Zdroje

- [X-Content-Type-Options header](https://developer.mozilla.org/en-US/docs/Web/HTTP/Reference/Headers/X-Content-Type-Options) (MDN)
- [OWASP Secure Headers Project](https://owasp.org/projects/secure-headers-project) (OWASP)

## Súvisiace pojmy

- [Referrer-Policy](https://be1st.ai/sk/glossary/security/referrer-policy): Referrer-Policy je HTTP hlavička, ktorá určuje, akú časť aktuálnej URL pošle prehliadač iným webom, keď návštevník klikne na odkaz alebo sa načíta zdroj.
- [Permissions-Policy](https://be1st.ai/sk/glossary/security/permissions-policy): Permissions-Policy je HTTP hlavička, ktorá stránke a jej rámcom zapne alebo vypne funkcie prehliadača, napríklad kameru, mikrofón alebo polohu.
- [Zmiešaný obsah (mixed content)](https://be1st.ai/sk/glossary/security/mixed-content): Zmiešaný obsah sú zdroje, napríklad obrázky alebo skripty, ktoré HTTPS stránka načítava cez nešifrované HTTP. Prehliadače ich blokujú alebo označia.
- [Bezpečnostné varovania (security warnings)](https://be1st.ai/sk/glossary/security/security-warnings): Bezpečnostné varovania sú správy, ktoré prehliadač zapíše do konzoly, keď na stránke nájde bezpečnostný problém, napríklad zablokovaný zdroj alebo chybné pravidlo.
- [Nezabezpečené cookies (insecure cookies)](https://be1st.ai/sk/glossary/security/insecure-cookies): Nezabezpečená cookie je cookie bez atribútu Secure, HttpOnly alebo SameSite, takže ju môže iný web ukradnúť alebo zneužiť.
- [Zastarané API (deprecated APIs)](https://be1st.ai/sk/glossary/security/deprecated-apis): Zastarané API sú funkcie prehliadača, ktoré sa postupne rušia. Kód, ktorý ich stále používa, môže prestať fungovať, keď ich prehliadače odstránia.