SSL / HTTPS
HTTPS шифрует передачу данных между браузером и доменом. Перед запуском нужно проверить реальный сертификат, отсутствие mixed content и корректный 301-редирект с HTTP на HTTPS.
HSTS
HSTS сообщает браузеру использовать HTTPS при следующих обращениях. Заголовок имеет смысл после корректной настройки сертификата; преждевременное включение длинного срока на проблемном домене может затруднить доступ.
CSP и защитные заголовки
В Apache-конфигурации предусмотрены CSP, X-Content-Type-Options, X-Frame-Options, Referrer-Policy и Permissions-Policy. Они снижают часть браузерных рисков, но не заменяют обновления сервера и безопасную обработку аккаунтов.
Защита пользователя
Уникальный пароль, проверка домена и осторожность с кодами подтверждения остаются обязательными. Ни SSL, ни HSTS не защищают от ситуации, когда пользователь сам вводит данные на фишинговой копии.
Что нужно проверить уже после деплоя
Базовые настройки защиты можно подготовить заранее, но окончательно они проверяются уже на рабочем домене. Нужно убедиться, что сертификат покрывает нужный host, HTTP действительно отвечает 301 на HTTPS, браузер получает HSTS только по защищённому соединению, а CSP не блокирует необходимые игровые и платёжные интеграции.
Если появятся внешние iframe, аналитика или платёжные скрипты, CSP следует расширять точечно по реальным доменам. Отключать политику полностью ради одной интеграции хуже, чем явно разрешить нужный источник.