nxray Security Wiki

map $arg_target $backend {
    default         backend;
    "service-a"     service-a;
    "service-b"     service-b;
}

location /api/ {
    proxy_pass http://$backend;
}

# $uri — уже нормализован nginx
location /redirect {
    return 302 https://example.com$uri;
}

# Не используйте $http_* в заголовках

# $host — нормализован nginx,
# соответствует server_name
proxy_set_header Host $host;

# Trailing slash и в location, и в alias
location /files/ {
    alias /var/www/uploads/;
}

# Фиксированный путь
location /dynamic {
    root /var/www/mysite;
}

ssl_protocols TLSv1.2 TLSv1.3;

ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
ssl_prefer_server_ciphers on;

listen 443 ssl http2;

# Генерация: openssl dhparam -out /etc/ssl/dhparam.pem 4096
ssl_dhparam /etc/ssl/dhparam.pem;

location ~ /\.git {
    deny all;
    return 404;
}

# Блокируем все dotfiles кроме .well-known (ACME)
location ~ /\.(?!well-known) {
    deny all;
}

location ~* \.(bak|sql|tar|gz|zip|swp|old|orig|dump)$ {
    deny all;
}

location /internal {
    allow 10.0.0.0/8;
    deny all;
}

location /admin {
    allow 10.0.0.0/8;
    deny all;
    proxy_pass http://admin_backend;
}
# Или используйте if + return в отдельном блоке

location /admin {
    auth_basic "Admin Area";
    auth_basic_user_file /etc/nginx/.htpasswd;
    allow 10.0.0.0/8;
    deny all;
    proxy_pass http://backend;
}

# Только IP вашего балансировщика/CDN
set_real_ip_from 10.0.0.0/8;
set_real_ip_from 172.16.0.0/12;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

resolver 127.0.0.1 valid=30s;
# Или корпоративный DNS-сервер
resolver 10.0.0.53;

valid_referers server_names
    *.example.com;
if ($invalid_referer) {
    return 403;
}

location ~ \.php$ {
    try_files $uri =404;  # ← обязательно!
    fastcgi_pass unix:/run/php/php-fpm.sock;
    fastcgi_param SCRIPT_FILENAME $document_root$fastcgi_script_name;
    include fastcgi_params;
}

# Перезапись не должна совпадать с входом
rewrite ^/old/(.*)$ /new/$1 last;