宝塔面板中为网站添加HTTP安全响应头有四种方法：一、手动修改Nginx/Apache配置文件插入add_header或Header指令；二、通过反向代理的“发送头部信息”注入；三、利用“网站监控”插件的HTTP头管理功能可视化配置；四、Apache环境下使用.htaccess文件局部设置。
如果您在宝塔面板中部署了网站，但未配置必要的HTTP安全响应头，可能导致站点面临信息泄露、点击劫持、MIME类型混淆等风险。以下是为网站添加自定义响应头安全字段的具体操作方法：
一、通过网站配置文件手动添加Header指令
该方法直接修改Nginx或Apache的站点配置文件，在server或Directory块中插入add_header指令，可精确控制每个响应头的值与作用域。
1、登录宝塔面板，进入【网站】页面，找到目标站点，点击右侧【设置】按钮。
2、在弹出窗口中选择【配置文件】选项卡，确认当前Web服务器类型（Nginx或Apache）。
3、若为Nginx环境，在location /区块内（或server区块末尾）添加如下语句：
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;
add_header X-XSS-Protection "1; mode=block" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
4、若为Apache环境，在配置文件末尾的<IfModule mod_headers.c>区块内添加：
Header always set X-Content-Type-Options "nosniff"
Header always set X-Frame-Options "DENY"
Header always set X-XSS-Protection "1; mode=block"
Header always set Strict-Transport-Security "max-age=31536000; includeSubDomains"
5、点击右上角【保存】，返回配置文件页后点击【重载配置】使更改生效。
二、使用宝塔面板内置的反向代理功能注入Header
当站点通过反向代理方式运行（如Node.js、Python Flask应用），可在代理配置中统一追加安全响应头，避免修改后端代码，且对所有被代理路径生效。
1、进入目标网站的【设置】→【反向代理】→ 点击已存在的代理或新增代理。
2、在【发送头部信息】文本框中，每行填写一个Header，格式为：Header名: 值。
3、输入以下内容：
X-Content-Type-Options: nosniff
X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block
Strict-Transport-Security: max-age=31536000; includeSubDomains
4、勾选【启用代理】并点击【提交】，系统将自动重载Nginx服务。
三、利用宝塔面板的“网站监控”插件扩展模块注入
部分用户已安装宝塔官方【网站监控】插件（需专业版或付费启用），其内置的“HTTP头管理”子功能支持可视化添加全局或站点级响应头，无需编辑配置文件。
1、确保已安装并启用【网站监控】插件，进入插件首页。
2、点击左侧菜单【HTTP头管理】→【添加规则】。
3、在【应用对象】中选择【指定网站】，并从下拉列表选取目标站点。
4、在【响应头】区域逐条填写：
X-Content-Type-Options → nosniff
X-Frame-Options → DENY
X-XSS-Protection → 1; mode=block
Strict-Transport-Security → max-age=31536000; includeSubDomains
5、点击【保存】，插件将自动写入配置并触发Nginx重载。
四、通过.htaccess文件为Apache站点单独配置（仅限Apache）
适用于未开放主配置编辑权限、或需对子目录做差异化安全头设置的场景，.htaccess具有路径局部生效特性，适合多租户或静态资源目录隔离管理。
1、使用宝塔【文件】管理器，进入网站根目录或需设限的子目录。
2、新建或编辑名为.htaccess的文件（注意开头为点号）。
3、在文件中添加以下内容：
Header set X-Content-Type-Options "nosniff"
Header set X-Frame-Options "DENY"
Header set X-XSS-Protection "1; mode=block"
Header set Strict-Transport-Security "max-age=31536000; includeSubDomains"
4、确保Apache已启用mod_headers和AllowOverride All，可在站点配置中检查是否存在AllowOverride All或AllowOverride FileInfo指令。
5、保存文件后，访问对应路径验证Header是否生效。
