HTTP-Security-Header, verständlich erklärt

Was er bewirkt. Weist den Browser an, Ihre Website ausschließlich über HTTPS aufzurufen, und diese Entscheidung für die angegebene max-age zu merken. Ab dem zweiten Besuch stellt der Browser jede Anfrage selbst auf HTTPS um, bevor überhaupt Daten das Gerät verlassen.

Warum er wichtig ist. Ohne HSTS kann ein Angreifer im Netzwerk die erste unverschlüsselte Anfrage abfangen und die Verbindung herunterstufen. HSTS schließt dieses Zeitfenster und macht die verschlüsselte Übertragung verbindlich.

Empfohlener Wert. max-age=63072000; includeSubDomains; preload

add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;

Was er bewirkt. Legt eine Positivliste der Quellen fest, aus denen eine Seite Skripte, Stylesheets, Bilder und andere Ressourcen laden darf, und kann Inline-Skripte vollständig verbieten.

Warum er wichtig ist. Das ist der wirksamste Schutz gegen Cross-Site-Scripting (XSS). Selbst wenn ein Angreifer ein Script-Tag einschleust, führt der Browser es nur aus, wenn die Richtlinie dessen Quelle erlaubt. Beginnen Sie im Report-Only-Modus und schalten Sie danach auf erzwingend um.

Empfohlener Wert. default-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'

add_header Content-Security-Policy "default-src 'self'; object-src 'none'; base-uri 'self'; form-action 'self'; frame-ancestors 'self'" always;

Was er bewirkt. Steuert, ob Ihre Seiten auf fremden Websites in einem Frame oder Iframe eingebettet werden dürfen. DENY verbietet jedes Einbetten, SAMEORIGIN erlaubt es nur der eigenen Domain.

Warum er wichtig ist. Der Header verhindert Clickjacking, bei dem ein Angreifer Ihre Seite unsichtbar über seine eigene legt, um Klicks abzufangen. Moderne Browser werten zusätzlich die CSP-Direktive frame-ancestors aus, dieser Header deckt jedoch auch ältere Clients ab.

Empfohlener Wert. SAMEORIGIN

add_header X-Frame-Options "SAMEORIGIN" always;

Was er bewirkt. Mit dem Wert nosniff weisen Sie den Browser an, dem angegebenen Content-Type zu vertrauen und niemals einen anderen zu erraten (MIME-Sniffing).

Warum er wichtig ist. MIME-Sniffing kann aus einem harmlos wirkenden Upload ein ausführbares Skript machen. Ein einziger, unkritischer Wert schaltet eine ganze Kategorie solcher Verwechslungsangriffe ab.

Empfohlener Wert. nosniff

add_header X-Content-Type-Options "nosniff" always;

Was er bewirkt. Bestimmt, wie viel der aufrufenden URL übermittelt wird, wenn ein Besucher Ihre Website über einen Link verlässt oder eine Ressource von Dritten geladen wird.

Warum er wichtig ist. Vollständige Referrer geben Pfade, Tokens oder Suchbegriffe an fremde Server weiter. Eine strenge Richtlinie übermittelt gerade genug für Ihre Web-Analyse und hält sensible URLs zurück.

Empfohlener Wert. strict-origin-when-cross-origin

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

Was er bewirkt. Erlaubt es, mächtige Browser-Funktionen wie Kamera, Mikrofon und Standortabfrage für Ihre Website und alle eingebetteten Inhalte abzuschalten.

Warum er wichtig ist. Wenn Ihre Website die Kamera ohnehin nie braucht, kann auch ein kompromittierter oder bösartiger eingebetteter Inhalt nicht danach fragen. Sie reduzieren die Angriffsfläche auf die Funktionen, die Sie tatsächlich nutzen.

Empfohlener Wert. geolocation=(), camera=(), microphone=(), payment=(), usb=()

add_header Permissions-Policy "geolocation=(), camera=(), microphone=(), payment=(), usb=()" always;

Was er bewirkt. Streng genommen kein Security-Header, aber der Response-Header, der über die Sicherheit einer Sitzung entscheidet: Secure, HttpOnly und SameSite legen fest, wer ein Cookie lesen darf und wann es mitgeschickt wird.

Warum er wichtig ist. Ein Sitzungs-Cookie ohne HttpOnly kann jedes Skript auslesen, das es auf die Seite schafft, und eines ohne SameSite reist bei Anfragen von fremden Seiten mit. Beides macht aus einem kleinen Fehler eine Kontoübernahme.

Empfohlener Wert. name=value; Secure; HttpOnly; SameSite=Lax

Set-Cookie: name=value; Secure; HttpOnly; SameSite=Lax

Was er bewirkt. Stellt Ihre Seiten in eine eigene Browsing-Context-Gruppe, sodass ein Fenster, das Ihres geöffnet hat oder das Ihre Seite geöffnet hat, nicht mehr über die Fensterreferenz hineingreifen kann.

Warum er wichtig ist. Ohne den Header behält ein fremder Opener einen Zugriff auf Ihre Seite und kann deren Navigationszustand abfragen. Er ist außerdem der erste der drei Header, die eine Seite braucht, bevor ein Browser ihr Cross-Origin-Isolation gewährt.

Empfohlener Wert. same-origin

add_header Cross-Origin-Opener-Policy "same-origin" always;

Was er bewirkt. Legt fest, wer Ihre Antworten als Subressource einbinden darf: nur Ihre eigene Origin, nur Ihre eigene Site oder jeder beliebige Dritte.

Warum er wichtig ist. Er schützt vor Seitenkanal-Angriffen, die Ressourcen auslesen, die sie nie sehen durften, und ist der einzige Weg, Bilder, Skripte und Datendateien nicht in fremde Seiten ziehen zu lassen.

Empfohlener Wert. same-origin

add_header Cross-Origin-Resource-Policy "same-origin" always;

Was er bewirkt. Verlangt, dass jede eingebundene Cross-Origin-Ressource ausdrücklich zustimmt, über CORP oder CORS.

Warum er wichtig ist. Erst mit COEP gewährt der Browser Cross-Origin-Isolation, auf die mächtige Funktionen wie SharedArrayBuffer und hochauflösende Timer angewiesen sind. Darüber hinaus vervollständigt er den Isolationssatz: ohne ihn landen Ressourcen fremder Herkunft im Prozess der Seite, ohne zugestimmt zu haben.

Empfohlener Wert. require-corp

add_header Cross-Origin-Embedder-Policy "require-corp" always;

Was er bewirkt. Nennt den Endpunkt, an den der Browser Berichte schickt: Richtlinienverstöße, Deprecations, Abstürze und, zusammen mit NEL, die Netzwerkfehler, die Ihren Server nie erreicht haben.

Warum er wichtig ist. Ohne Endpunkt passiert jeder Verstoß still im Browser eines Fremden. Das ist der Unterschied zwischen einer Richtlinie, die Sie mit Belegen verschärfen können, und einer, die Sie nur raten können.

Empfohlener Wert. default="https://example.com/report"

add_header Reporting-Endpoints 'default="https://example.com/report"' always;
add_header NEL '{"report_to":"default","max_age":10886400}' always;

Was er bewirkt. Der XSS-Auditor-Schalter alter Browser. Aktuelle Browser ignorieren ihn, und die wenigen, die ihn noch auswerten, aktivieren einen Filter, mit dem sich Seiten aufbrechen ließen, die gar nicht verwundbar waren.

Warum er wichtig ist. Er schützt heute nicht mehr, erzeugt aber den Eindruck von Schutz. In alten Browsern lässt sich der Filter von außen steuern, um Teile einer Seite zu unterdrücken oder Inhalte über Origin-Grenzen hinweg auszuleiten; sicher ist deshalb, ihn nicht zu senden.

Diesen Header nicht setzen. Senden Sie ihn wie gezeigt ausgeschaltet oder lassen Sie ihn besser ganz weg.

add_header X-XSS-Protection "0" always;