[TUTO] Sécuriser son reverse proxy Emby, sous Ubuntu avec Apache

[Randdrick 24]

Ce tuto vient en complément du Tuto : Configurer un reverse proxy pour Emby, sous Ubuntu, que vous trouverez ici :

Il s'agit ici, de configurer les Headers d'Apache pour éviter une multitude de désagrément, comme des attaques de type XSS, et sécuriser les transport TLS pour éviter les attaques Man-In-The-Middle sur le SSL.
Avant d'aller plus loin dans ce tuto, vous pouvez tester la vulnérabilité de votre serveur Emby grâce au site suivant : https://securityheaders.com/

Bien que votre serveur Emby ne sera pas forcément une cible privilégiée pour des pirates, il serait dommage de s'en priver. De plus, la configuration est simple à mettre en place. Pour cela, il vous suffit de suivre les étapes suivantes.

Activer les headers sur Apache

sudo a2enmod headers

Modifier votre fichier de configuration security.conf

sudo nano /etc/apache2/conf-available/security.conf 

Et ajouter /activer les lignes ci-dessous, à fin du fichier, dans la partie des Headers :

# Content Security Policy (CSP)
# Remplacer https://mon.domaine.com par votre nom de domaine (ex : https://monserveuremby.ddns.net) 
Header set Content-Security-Policy "script-src 'self' https://mon.domaine.com"

#
# Setting this header will prevent MSIE from interpreting files as something
# else than declared by the content type in the HTTP headers.
# Requires mod_headers to be enabled.
#
Header set X-Content-Type-Options: "nosniff"

#
# Setting this header will prevent other sites from embedding pages from this
# site as frames. This defends against clickjacking attacks.
# Requires mod_headers to be enabled.
#
Header set X-Frame-Options: "sameorigin"

# Setting HTTP Strict Transport Security
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains; preload"

# Reflected Cross-Site Scripting (XSS) attacks
Header set X-XSS-Protection "1; mode=block"

#Remove response header
Header unset X-Powered-By

#Referrer-Policy
Header always set Referrer-Policy "no-referrer"

Recharger la configuration d'Apache :

service apache2 reload

Il ne vous reste plus qu'a tester de nouveau la sécurité de votre reverse proxy grâce au site  Security Headers
Vous devriez obtenir une belle note de A

 

[Luke 40078]

Thanks for sharing.