MIME sniffing e X-Content-Type-Options: nosniff explicado

Defina X-Content-Type-Options: nosniff no next.config.js para que ele se aplique a todas as respostas, incluindo rotas de API e rotas de arquivos estáticos.

// next.config.js
module.exports = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [
          { key: "X-Content-Type-Options", value: "nosniff" },
        ],
      },
    ];
  },
};

Adicione a diretiva no seu bloco server para que ela se aplique a todas as respostas roteadas pelo nginx.

add_header X-Content-Type-Options "nosniff" always;

nosniff é mais eficaz quando cada resposta também carrega um cabeçalho Content-Type correto. Para arquivos enviados por usuários, sirva-os com um tipo apropriado e a partir de uma origem ou domínio de armazenamento separado — não a mesma origem do app — para que mesmo que um arquivo seja executado, ele não possa acessar os cookies de sessão dos usuários.

Verificações de extensão podem ser contornadas. Use uma biblioteca como file-type (npm) para inspecionar os magic bytes do arquivo no servidor e rejeite qualquer coisa que não corresponda a uma lista de tipos seguros permitidos.

import { fileTypeFromBuffer } from "file-type";

const ALLOWED = new Set(["image/jpeg", "image/png", "image/webp", "image/gif"]);

async function validateUpload(buffer: Buffer): Promise<void> {
  const type = await fileTypeFromBuffer(buffer);
  if (!type || !ALLOWED.has(type.mime)) {
    throw new Error("Upload rejected: unsupported file type");
  }
}