Sicherheitseinstellungen, die deine Website an Browser sendet

Jedes Mal, wenn ein Browser deine Seite lädt, sendet deine Website einige Anweisungen mit. Besucher sehen sie nicht, aber Browser befolgen sie. Ein paar davon erschweren Angriffe erheblich.

Die wichtigen Einstellungen

• Content Security Policy legt fest, von wo Skripte geladen werden dürfen. Schmuggelt ein Angreifer ein Skript auf deine Seite, weigert sich der Browser, es auszuführen.
• Frame-Schutz verhindert, dass andere Websites deine Seiten in ihren eigenen Rahmen einbetten. So bringt man Menschen dazu, Schaltflächen zu klicken, die sie nicht sehen.
• Schutz des Inhaltstyps verhindert, dass der Browser rät, was eine Datei ist. Sonst könnte ein hochgeladenes Bild zu einem Skript werden.
• Referrer-Policy steuert, wie viel von deiner Seitenadresse an andere Websites geteilt wird, wenn jemand einen Link anklickt.
• Cookie-Flags halten Anmelde-Cookies von Skripten fern und von unverschlüsselten Verbindungen.

Warum sie oft fehlen

Keine davon ist standardmäßig aktiv. Frameworks und Hoster überlassen sie dir. Eine Website funktioniert ohne sie problemlos, deshalb merkt es niemand, bis etwas schiefgeht.

Die meisten lassen sich an einer Stelle ergänzen, in der Konfigurationsdatei deines Hosters oder Frameworks. Content Security Policy braucht mehr Sorgfalt, denn eine strenge Richtlinie kann Skripte blockieren, die deine Website braucht. Deshalb wird sie meist schrittweise eingeführt.

Ein Scan liest die Einstellungen, die deine Website tatsächlich sendet, und sagt, welche fehlen oder zu locker sind.