🔒 Security Headers Setup

วิธีตั้ง Security Headers บน sj88ai.com ให้ทำงานผ่าน Cloudflare

📊 สถานะ Headers ปัจจุบัน

✅ วิธีแก้: ใช้ Cloudflare Transform Rules

Cloudflare Dashboard → Rules → Transform Rules → Modify Response Header

Step 1: เปิด Transform Rules

ไปที่: https://dash.cloudflare.com

1. เลือกโดเมน sj88ai.com
2. เมนูซ้าย: Rules → Transform Rules
3. แท็บ Modify Response Header
4. กด Create rule

Step 2: ตั้ง Rule: HSTS

Rule name:    Security Headers (HSTS)
Match:        All incoming requests
Action:       Set new header
  Header name:  Strict-Transport-Security
  Value:        max-age=31536000; includeSubDomains; preload

Step 3: ตั้ง Rule รวม (1 rule ทำหลาย header ได้)

สร้าง rule เดียวแล้วเพิ่ม action หลายๆ อันได้:

Rule name:    Add Security Headers
Match:        All incoming requests

Actions (in order):
1. Set Strict-Transport-Security
     → max-age=31536000; includeSubDomains; preload

2. Set X-Content-Type-Options
     → nosniff

3. Set X-Frame-Options
     → SAMEORIGIN

4. Set Referrer-Policy
     → strict-origin-when-cross-origin

5. Set Permissions-Policy
     → camera=(), microphone=(), geolocation=(), interest-cohort=()

6. Set Cross-Origin-Opener-Policy
     → same-origin

7. Set Content-Security-Policy
     → default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval' cdn.jsdelivr.net unpkg.com cdnjs.cloudflare.com esm.sh; style-src 'self' 'unsafe-inline' fonts.googleapis.com; font-src 'self' fonts.gstatic.com; img-src 'self' data: blob: https:; connect-src 'self'; frame-src 'self' https://www.youtube.com https://www.youtube-nocookie.com; worker-src 'self' blob:;

Step 4: Deploy

1. กด Deploy
2. รอ ~30 วินาที ให้ CF propagate
3. ตรวจสอบด้วย: curl -I https://sj88ai.com/

🔍 ตรวจสอบหลัง Deploy

ใช้ Security Headers checker:

• 🔗 https://securityheaders.com/?q=sj88ai.com
• 🔗 https://observatory.mozilla.org/analyze/sj88ai.com

📋 Alternative: ปิด Cloudflare Proxy (DNS Only)

ถ้าอยากให้ nginx add_header ทำงานโดยตรง:

1. Cloudflare DNS → ปิด orange cloud (Proxied → DNS only)
2. ตอนนี้ traffic จะวิ่งตรงจากผู้ใช้ → VPS (ไม่ผ่าน CF proxy)
3. nginx headers จะปรากฏ

🛠 Alternative: ใช้ Workers

เขียน Cloudflare Worker เพื่อเพิ่ม headers แบบ programmatic:

export default {
  async fetch(request) {
    const response = await fetch(request);
    const newHeaders = new Headers(response.headers);
    newHeaders.set('Strict-Transport-Security', 'max-age=31536000; includeSubDomains');
    newHeaders.set('X-Content-Type-Options', 'nosniff');
    newHeaders.set('X-Frame-Options', 'SAMEORIGIN');
    newHeaders.set('Referrer-Policy', 'strict-origin-when-cross-origin');
    return new Response(response.body, {
      status: response.status,
      statusText: response.statusText,
      headers: newHeaders
    });
  }
};

✅ สรุป: ทางเลือกที่แนะนำ

🔄 Last updated: 2026-07-12 · กลับ Docs