Reconozco la importancia de configurar los encabezados de seguridad HTTP (X-Frame-Options, X-XSS-Protection y X-Content-Type-Options) para servidores web (y otros servidores de internet como los loadbalancers). Pero, ¿es esto necesario para los servidores que no tienen conexión a Internet?
Supongamos que tiene una aplicación ejecutándose en app.example.com en su red local, y la hace accesible en Internet a través de un proxy inverso en web.example.com . Establecería los encabezados en app por varios motivos:
app.example.com . app.example.com , ya sea a propósito o por error. Aún deben obtener la protección. app.example.com , podría aprovecharla en un ataque contra usuarios en su intranet. Si no puede incrustar web.example.com en un iframe en evil.com para su ataque, puede incrustar app.example.com en su lugar. Si tiene un nivel mínimo de protección que quiere que tenga todo (quizás siempre quiera que esté activada la protección XSS), puede configurarlo tanto en web.example.com como en un dispositivo de seguridad adicional.