https://webhosting-glossar.de/index.php?action=history&feed=atom&title=HTTP-Sicherheitsheader%2C_CSP_und_HSTS 2026-11-04T20:46:55Z Versionsgeschichte dieser Seite in HOSTING-STATION55 - Webhosting Wiki / FAQ MediaWiki 1.34.1 https://webhosting-glossar.de/index.php?title=HTTP-Sicherheitsheader,_CSP_und_HSTS&diff=732&oldid=prev 2026-09-20T20:07:42Z

<p>Ausführlichen Kundenleitfaden ergänzt</p> <p><b>Neue Seite</b></p><div>HTTP-Sicherheitsheader geben Browsern zusätzliche Regeln. Sie können Auswirkungen von XSS, Clickjacking, unsicheren Ressourceneinbindungen und Informationsweitergabe begrenzen. Falsch gesetzte Header können jedoch Anmeldung, Bezahlung, eingebettete Inhalte oder Subdomains sperren.<br /> <br /> == Wichtige Header ==<br /> <br /> ; Content-Security-Policy<br /> : Legt fest, aus welchen Quellen Skripte, Styles, Bilder, Frames und andere Ressourcen geladen werden dürfen.<br /> <br /> ; Strict-Transport-Security<br /> : Weist Browser an, die Domain künftig nur über HTTPS aufzurufen.<br /> <br /> ; X-Content-Type-Options: nosniff<br /> : Verhindert MIME-Type-Sniffing bei bestimmten Ressourcen.<br /> <br /> ; Referrer-Policy<br /> : Steuert, welche Referrer-Informationen an andere Ziele übertragen werden.<br /> <br /> ; Permissions-Policy<br /> : Begrenzt Browserfunktionen wie Kamera, Mikrofon oder Standort.<br /> <br /> == Sicher einführen ==<br /> <br /> # Erfassen Sie eigene und externe Ressourcen der Website.<br /> # Beginnen Sie CSP mit &lt;code&gt;Content-Security-Policy-Report-Only&lt;/code&gt;.<br /> # Analysieren Sie Verstöße und entfernen Sie unnötige Quellen.<br /> # Vermeiden Sie pauschale Wildcards und unsichere Freigaben.<br /> # Aktivieren Sie die geprüfte Richtlinie zunächst ohne unkontrolliertes Preload.<br /> # Prüfen Sie Anmeldung, Formulare, Shop, Zahlungsanbieter und eingebettete Dienste.<br /> <br /> == HSTS-Warnung ==<br /> <br /> Aktivieren Sie lange Laufzeiten, &lt;code&gt;includeSubDomains&lt;/code&gt; oder Preload erst, wenn Hauptdomain und alle betroffenen Subdomains dauerhaft gültiges HTTPS besitzen. Browser lassen nach erhaltener HSTS-Regel keine einfache Umgehung eines Zertifikatsfehlers zu.<br /> <br /> == Verwandte Artikel ==<br /> <br /> * [[HTTPS auf Webseiten erzwingen]]<br /> * [[SSL Zertifikate auf Funktion Prüfen]]<br /> * [[Sicherheit eigener Webanwendungen - OWASP-Grundlagen]]<br /> <br /> [[Category:Entwicklung und Deployment]]<br /> [[Category:Sicherheit und Kontoschutz]]<br /> [[Category:Domains, DNS und SSL]]</div>

Station55