Verificatore degli header di risposta HTTP

HTTP Strict Transport Security (HSTS) con la direttiva preload indica ai browser di rifiutare le connessioni HTTP non crittografate e di non consentire l'esclusione degli errori di certificato. Quando un ospite si connette al WiFi e tenta di aprire un dominio precaricato HSTS (come google.com), l'intercettazione HTTP del controller wireless non può presentare un certificato valido per quel dominio. Il browser mostra un avviso SSL bloccante invece di reindirizzare al portale captive. Le reti moderne utilizzano l'API del portale captive RFC 8908 o i domini di test del portale captive di Apple/Android (come captive.apple.com) che omettono intenzionalmente l'HSTS.

Le splash page del portale captive richiedono una CSP bilanciata che consenta gli asset di autenticazione essenziali impedendo al contempo il cross-site scripting (XSS). La policy dovrebbe consentire script e stili da CDN affidabili e provider di identità per il social login (come Google, Apple e Microsoft), limitando al contempo default-src 'self' e vietando l'esecuzione di script inline non attendibili. Inoltre, i domini di reindirizzamento dell'autenticazione social devono essere inseriti nella whitelist del Walled Garden del controller di rete.

L'header X-Frame-Options: DENY o SAMEORIGIN (e la moderna direttiva CSP frame-ancestors) impedisce ai siti web di terze parti dannosi di caricare il modulo di login del portale captive all'interno di un iframe invisibile. Ciò elimina gli attacchi di clickjacking in cui i malintenzionati ingannano i visitatori spingendoli a inviare credenziali di accesso o token di autorizzazione social.

Un reindirizzamento HTTP 302 Found viene comunemente utilizzato dai controller di rete legacy per reindirizzare le richieste HTTP iniziali all'URL della splash page, ma i client potrebbero convertire le richieste POST in GET. Un reindirizzamento temporaneo HTTP 307 garantisce che il metodo HTTP e il corpo della richiesta rimangano invariati durante il reindirizzamento. Per le moderne reti captive, la specifica RFC 8908 fornisce un endpoint JSON standardizzato che elimina completamente l'intercettazione HTTP.

L'header X-Content-Type-Options: nosniff costringe i browser a rispettare rigorosamente il tipo MIME dichiarato nell'header Content-Type. Ciò previene gli attacchi di MIME-sniffing in cui i file caricati dagli utenti o frammenti di testo dannosi vengono eseguiti come JavaScript o CSS eseguibili nei browser vulnerabili.

Permissions-Policy (precedentemente Feature-Policy) consente ai gestori dei siti di disabilitare API hardware sensibili come fotocamera, microfono, geolocalizzazione e richieste di pagamento all'interno del contesto del browser. La disattivazione delle funzionalità del dispositivo non utilizzate sulle landing page del WiFi per ospiti rassicura i visitatori sul fatto che il portale rispetta gli standard di privacy dei dati.