Sigurnosna zaglavlja sajta: čeklista od 6 zaglavlja

4. novembar 2026. · Lizzard Solutions

Bezbednost sajtaSigurnosna zaglavljaHTTPSContent Security PolicyMala preduzećaRazvoj sajtova

Autor: Nemanja Vukmirović, Lizzard Solutions. Poslednje ažuriranje: 4. novembar 2026.

Vaš sajt ima katanac u adresnoj traci, znači bezbedan je? Ne baš. HTTPS šifruje vezu, ali browseru ne govori kako da zaštiti posetioce od clickjackinga, ubačenih skripti ili curenja adresa stranica. To rade nekoliko redova koje većina sajtova malih firmi nikad ne šalje.

Ova provera sigurnosnih zaglavlja sajta obuhvata šest zaglavlja koja vredi podesiti, bezbedne početne vrednosti za kopiranje, test od dva minuta i greške koje mogu da obore sajt. Kao primer iz prakse, pokazaćemo prava zaglavlja koja šalje naš sajt.

---

Šta su sigurnosna zaglavlja sajta?

Sigurnosna zaglavlja sajta su HTTP zaglavlja odgovora koja web server šalje uz svaku stranicu da bi browseru rekao kako da se ponaša bezbedno: da uvek koristi HTTPS, koje skripte smeju da se izvršavaju, da li drugi sajtovi smeju da prikažu stranicu u okviru (frame) i koliko informacija da šalje spoljnim linkovima.

Posetioci ih ne vide i ne menjaju dizajn. OWASP Secure Headers Project vodi nezavisnu listu preporučenih zaglavlja, a MDN Web Docs opisuje kako svako od njih radi u svim većim browserima (dokumentacija je na engleskom).

Zadatak za danas: proverite da li ceo sajt radi preko HTTPS-a. Ako ne radi, prvo nabavite besplatan sertifikat od Let's Encrypt ili preko svog hostinga.

---

6 sigurnosnih zaglavlja koja treba svakom sajtu male firme

Evo kratke liste: šta svako zaglavlje sprečava i razumna početna vrednost. Sve vrednosti su opisane na MDN-u, a linkovi su u odeljcima ispod.

1. Strict-Transport-Security (HSTS)

HSTS kaže browseru da za vaš domen koristi HTTPS tokom zadatog perioda, čak i kad neko ukuca http:// ili klikne na stari link. MDN opis HSTS-a objašnjava max-age (u sekundama, pa je 31536000 jedna godina) i includeSubDomains. Opciju preload dodajte tek kad pročitate uslove na hstspreload.org, jer se domen sa te liste sporo uklanja.

2. Content-Security-Policy (CSP)

CSP je najmoćnije zaglavlje i najlakše je pogrešiti s njim. Navodi sa kojih izvora smeju da se učitavaju skripte, stilovi, slike i okviri. Sve što nije navedeno browser blokira, i tako sprečava mnoge napade ubacivanjem skripti. Sve direktive su u MDN vodiču za CSP.

3. Zaštita od clickjackinga: frame-ancestors

CSP direktiva frame-ancestors određuje koji sajtovi smeju da prikažu vaše stranice u okviru. MDN navodi da ona zamenjuje starije zaglavlje X-Frame-Options, ali slanje oba ne smeta i pokriva starije browsere.

4. X-Content-Type-Options

Jedna vrednost, nosniff, kaže browseru da veruje navedenom tipu fajla umesto da ga pogađa. Dodavanje je gotovo uvek bez rizika.

5. Referrer-Policy

Kad posetilac klikne na spoljni link, browser može da pošalje adresu stranice sa koje dolazi. Referrer-Policy sa vrednošću strict-origin-when-cross-origin drugim sajtovima šalje samo vaš domen, a ne pune adrese u kojima mogu biti pojmovi pretrage ili brojevi porudžbina.

6. Permissions-Policy

Permissions-Policy isključuje funkcije browsera koje vaš sajt ne koristi, poput kamere, mikrofona i lokacije. Ako neka spoljna skripta ikad bude kompromitovana, neće moći tiho da ih zatraži.

Zadatak za danas: zapišite koja od ovih šest zaglavlja vaš sajt danas šalje. Test u sledećem odeljku traje dva minuta.

---

Kako da proverite sigurnosna zaglavlja za 2 minuta

1. Unesite adresu početne stranice na securityheaders.com. Prikazaće zaglavlja koja nedostaju i ocenu slovom.
2. Pokrenite Mozilla HTTP Observatory za drugo mišljenje, sa objašnjenjem svakog testa.
3. U Chrome-u ili Firefox-u otvorite DevTools, karticu Network, osvežite stranicu, kliknite na prvi zahtev i pogledajte Response Headers.
4. Iz terminala pokrenite curl -I https://vasdomen.rs da vidite sirova zaglavlja.

Zadatak za danas: sačuvajte snimak ekrana trenutnog rezultata da biste mogli da uporedite posle izmena.

---

Primer iz prakse: zaglavlja koja šalje naš sajt

Ovo je vratila komanda curl -I https://lizzardsolutions.com 4. novembra 2026. Skratili smo listu skripti u CSP-u, koja u stvarnosti navodi svaki servis za analitiku i zakazivanje koji sajt koristi.

strict-transport-security: max-age=31536000; includeSubDomains; preload
content-security-policy: default-src 'self'; script-src 'self' https://www.googletagmanager.com ...; frame-ancestors 'self'; base-uri 'self'; form-action 'self'; object-src 'none'
x-content-type-options: nosniff
referrer-policy: strict-origin-when-cross-origin
permissions-policy: geolocation=(), microphone=(), camera=()
x-frame-options: SAMEORIGIN

Tri stvari vredi preuzeti. HSTS pokriva i poddomene. CSP postavlja object-src 'none', base-uri 'self' i form-action 'self', što zatvara česte puteve za ubacivanje koda gotovo bez troška. A frame-ancestors zajedno sa X-Frame-Options blokira clickjacking i u starim i u novim browserima.

Cena je održavanje: svaki novi alat, poput chat widgeta ili reklamnog piksela, mora da se doda u CSP, inače se jednostavno neće učitati. Zato CSP-u treba neko ko ga održava, a ne jednokratno podešavanje.

Zadatak za danas: uporedite svoja zaglavlja sa ovim primerom i zapišite šta nedostaje.

---

Gde se dodaju sigurnosna zaglavlja (po platformi)

Kod većine domaćih hosting paketa sa cPanel-om, najjednostavniji put je .htaccess. Početni skup koji retko išta pokvari izgleda ovako. CSP je u režimu samo izveštavanja, pa beleži probleme bez blokiranja:

Strict-Transport-Security: max-age=31536000; includeSubDomains
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: geolocation=(), microphone=(), camera=()
Content-Security-Policy-Report-Only: default-src 'self'; frame-ancestors 'self'; object-src 'none'; base-uri 'self'; form-action 'self'

Zadatak za danas: saznajte gde se kontrolišu zaglavlja vašeg sajta: na hostingu, CDN-u ili u kodu.

---

Česte greške koje obore sajt

• Primena CSP-a od prvog dana. Analitika, fontovi, mape i widgeti za plaćanje prestaju da se učitavaju. Prvo nedelju-dve koristite Content-Security-Policy-Report-Only.
• Prerano dodat preload. Preload je skoro trajan. Sačekajte da HSTS neko vreme radi bez problema.
• Zaglavlja samo na početnoj stranici. Podesite ih na nivou servera ili CDN-a da ih dobije svaka stranica, uključujući stranice grešaka i fajlove.
• Kopiranje tuđeg CSP-a. U njemu su njihovi alati, ne vaši. Napravite svoj na osnovu onoga što vaš sajt zaista učitava.
• Oslanjanje na zastarela zaglavlja. MDN savetuje da se ne koristi X-XSS-Protection; pravilno podešen CSP ga zamenjuje.
• Nema ponovnog testa posle izmena. Posle svake izmene proverite forme, korpu, prijavu i ugrađene video snimke.

Zaglavlja su samo deo slike. Naš vodič za proveru brzine i bezbednosti sajta pokriva ostatak, a tekst o sajber bezbednosti za mala preduzeća lozinke, ažuriranja i navike zaposlenih.

Zadatak za danas: izaberite zaglavlje koje nedostaje a nosi najmanji rizik, obično X-Content-Type-Options, i dodajte ga.

---

Čeklista sigurnosnih zaglavlja sajta

• ☑ Ceo sajt i svi poddomeni rade preko HTTPS-a
• ☑ Strict-Transport-Security je podešen sa max-age od bar nekoliko meseci
• ☑ Postoji X-Content-Type-Options: nosniff
• ☑ Referrer-Policy je strict-origin-when-cross-origin ili strožiji
• ☑ Permissions-Policy isključuje funkcije koje ne koristite
• ☑ Clickjacking je blokiran pomoću frame-ancestors (i X-Frame-Options)
• ☑ CSP radi, bar u režimu samo izveštavanja
• ☑ Zaglavlja su podešena na nivou servera ili CDN-a, ne po stranici
• ☑ Forme, analitika i plaćanje su ponovo testirani posle izmena

Sigurnosna zaglavlja retko usporavaju sajt, ali izmene na CDN-u mogu, pa vredi ponovo proveriti brzinu uz naš vodič za optimizaciju brzine sajta. Za celu sliku onoga što treba pregledati, pogledajte tekst o besplatnoj proveri sajta.

Zadatak za danas: prođite kroz devet stavki i isplanirajte one koje nedostaju za ovu nedelju.

---

Sigurnosna zaglavlja sajta: česta pitanja

Šta su sigurnosna zaglavlja sajta?

Sigurnosna zaglavlja sajta su HTTP zaglavlja odgovora koja server šalje uz svaku stranicu da bi browseru rekao koje zaštite da primeni, na primer obavezan HTTPS, ograničenje skripti koje smeju da se izvršavaju, zabranu prikaza u tuđim okvirima i ograničenje podataka o poreklu posete. Posetioci ih ne vide i ne menjaju izgled sajta.

Koja sigurnosna zaglavlja treba da ima sajt male firme?

Praktična osnova su Strict-Transport-Security, Content-Security-Policy (sa frame-ancestors), X-Content-Type-Options, Referrer-Policy i Permissions-Policy. Za starije browsere može se dodati X-Frame-Options. Počnite sa zaglavljima malog rizika, a CSP uvedite u režimu samo izveštavanja.

Mogu li sigurnosna zaglavlja da pokvare sajt?

Mogu, najčešće Content-Security-Policy i HSTS. Strog CSP može da blokira analitiku, fontove ili widgete za plaćanje, a HSTS obara svaki poddomen koji ne podržava HTTPS. Testirajte u režimu samo izveštavanja, menjajte jedno po jedno zaglavlje i ponovo proverite ključne stranice.

Kako da proverim sigurnosna zaglavlja svog sajta?

Unesite adresu na securityheaders.com ili u Mozilla HTTP Observatory, ili u browseru otvorite DevTools, karticu Network, i pogledajte zaglavlja odgovora stranice. Iz terminala ih direktno prikazuje komanda curl -I sa adresom sajta.

---

Provera sigurnosnih zaglavlja sajta traje jedno popodne i zatvara rupe koje sam HTTPS ostavlja otvorenim. Testirajte, dodajte zaglavlja malog rizika, pažljivo uvedite CSP i ponovo testirajte. Želite drugo mišljenje? Naša provera bezbednosti sajta pregleda zaglavlja, HTTPS i druge osnove.