MIME sniffing y X-Content-Type-Options: nosniff explicado

Define X-Content-Type-Options: nosniff en next.config.js para que se aplique a todas las respuestas, incluidas las rutas de API y las rutas de archivos estáticos.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Agrega la directiva en tu bloque server para que se aplique a todas las respuestas enviadas a través de nginx.

add_header X-Content-Type-Options "nosniff" always;

nosniff es más eficaz cuando cada respuesta también lleva un encabezado Content-Type correcto. Para archivos subidos por usuarios, sírvelos con un tipo apropiado y desde un origen o dominio de almacenamiento separado, no el mismo origen que tu app, para que incluso si un archivo se ejecuta no pueda acceder a las cookies de sesión de tus usuarios.

Las comprobaciones de extensión pueden eludirse. Usa una biblioteca como file-type (npm) para inspeccionar los bytes mágicos del archivo en el servidor y rechaza cualquier cosa que no coincida con una lista de tipos seguros antes de que llegue a la capa de almacenamiento.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}