HTTP-Sicherheitsheader, CSP und HSTS
Zur Navigation springen
Zur Suche springen
HTTP-Sicherheitsheader geben Browsern zusätzliche Regeln. Sie können Auswirkungen von XSS, Clickjacking, unsicheren Ressourceneinbindungen und Informationsweitergabe begrenzen. Falsch gesetzte Header können jedoch Anmeldung, Bezahlung, eingebettete Inhalte oder Subdomains sperren.
Inhaltsverzeichnis
Wichtige Header
- Content-Security-Policy
- Legt fest, aus welchen Quellen Skripte, Styles, Bilder, Frames und andere Ressourcen geladen werden dürfen.
- Strict-Transport-Security
- Weist Browser an, die Domain künftig nur über HTTPS aufzurufen.
- X-Content-Type-Options
- nosniff
- Verhindert MIME-Type-Sniffing bei bestimmten Ressourcen.
- Referrer-Policy
- Steuert, welche Referrer-Informationen an andere Ziele übertragen werden.
- Permissions-Policy
- Begrenzt Browserfunktionen wie Kamera, Mikrofon oder Standort.
Sicher einführen
- Erfassen Sie eigene und externe Ressourcen der Website.
- Beginnen Sie CSP mit
Content-Security-Policy-Report-Only. - Analysieren Sie Verstöße und entfernen Sie unnötige Quellen.
- Vermeiden Sie pauschale Wildcards und unsichere Freigaben.
- Aktivieren Sie die geprüfte Richtlinie zunächst ohne unkontrolliertes Preload.
- Prüfen Sie Anmeldung, Formulare, Shop, Zahlungsanbieter und eingebettete Dienste.
HSTS-Warnung
Aktivieren Sie lange Laufzeiten, includeSubDomains oder Preload erst, wenn Hauptdomain und alle betroffenen Subdomains dauerhaft gültiges HTTPS besitzen. Browser lassen nach erhaltener HSTS-Regel keine einfache Umgehung eines Zertifikatsfehlers zu.
