Defina metadados conforme o uso
Use um tipo MIME compatível com o conteúdo real, não apenas com a extensão fornecida. Tipos incorretos podem causar exibição confusa ou insegura; valide uploads e não trate conteúdo não confiável como marcação ativa.
Escolha deliberadamente exibição inline ou anexo e use nome seguro. Considere caracteres internacionais e especiais e não insira entrada não sanitizada em cabeçalhos.
Verifique a resposta recebida pelo cliente
Inspecione metadados e cabeçalhos HTTP pelo mesmo caminho da aplicação. CDN ou proxy pode sobrescrever metadados armazenados; teste também a resposta entregue.
Após mudar metadados, confira cache e invalide ou versione respostas quando necessário. Valide tipos de arquivo representativos nos clientes de destino.