Esta guía explica cómo proteger su sitio web y a sus visitantes contra la explotación maliciosa del MIME-Type sniffing.

Prólogo

• El MIME-Type sniffing, o detección de tipo MIME, es una técnica utilizada por los navegadores web para determinar el tipo de contenido de un recurso cuando el tipo MIME proporcionado por el servidor es ambiguo, faltante o incorrecto.
• Aunque esto puede mejorar a veces la experiencia del usuario al hacer el contenido accesible a pesar de errores de configuración del servidor, esta funcionalidad también introduce vulnerabilidades de seguridad importantes:
  • Cuando un navegador realiza MIME-Type sniffing, puede interpretar un archivo de texto como un script ejecutable, abriendo así la puerta a ataques de cross-site scripting (XSS); por ejemplo, un archivo destinado a ser tratado como texto plano podría ser interpretado como JavaScript, permitiendo a un atacante ejecutar código malicioso en el navegador del usuario.
• Al desactivar el MIME-Type sniffing, proteges a los visitantes contra la ejecución no autorizada de scripts maliciosos y también refuerzas la seguridad general de tu sitio web al reducir los vectores potenciales de ataques.

Desactivar la detección de tipo MIME

Para proteger a los usuarios y las aplicaciones web contra este tipo de vulnerabilidades, es posible desactivar la detección automática del tipo de recursos a través del archivo .htaccess de sus sitios para indicar al navegador que confíe estrictamente en el tipo MIME especificado por el servidor sin intentar adivinarlo.

Al colocar el código a continuación en su archivo .htaccess, asegura que el MIME-Type sniffing esté desactivado siempre que el módulo mod_headers (que permite agregar la cabecera a continuación) esté activado en su servidor Apache:

1. Abra el archivo .htaccess del sitio correspondiente desde el FTP Manager o un software/cliente FTP.

2. Añada el siguiente código:

   <IfModule mod_headers.c>
       Header always set X-Content-Type-Options "nosniff"
   </IfModule>

3. Guarde el archivo .htaccess.