X-Content-Type-Options
Безопасность — насколько трудно увести сессию, встроить чужой код или узнать, что ломать.
замечание
чинится быстро
вес 3
Что это
Если сервер не указал тип файла точно, браузер пытается угадать его по содержимому — это называется MIME-sniffing. Загруженный посетителем файл с картинкой внутри может быть распознан как скрипт и исполнен. Заголовок X-Content-Type-Options: nosniff запрещает угадывание: браузер верит только объявленному типу.
Чем грозит
Без него браузер угадывает тип файла по содержимому, и загруженная посетителем «картинка» может исполниться как скрипт.
Что делать
Добавьте заголовок X-Content-Type-Options: nosniff.