# Sicherheitseinstellungen, die deine Website an Browser sendet

Eine Handvoll kurzer Anweisungen, die deine Website mit jeder Seite senden kann und die Browsern sagen, wie sie deine Besucher schützen.

Jedes Mal, wenn ein Browser deine Seite lädt, sendet deine Website einige Anweisungen mit. Besucher sehen sie nicht, aber Browser befolgen sie. Ein paar davon erschweren Angriffe erheblich.

## Die wichtigen Einstellungen

* **Content Security Policy** legt fest, von wo Skripte geladen werden dürfen. Schmuggelt ein Angreifer ein Skript auf deine Seite, weigert sich der Browser, es auszuführen.
* **Frame-Schutz** verhindert, dass andere Websites deine Seiten in ihren eigenen Rahmen einbetten. So bringt man Menschen dazu, Schaltflächen zu klicken, die sie nicht sehen.
* **Schutz des Inhaltstyps** verhindert, dass der Browser rät, was eine Datei ist. Sonst könnte ein hochgeladenes Bild zu einem Skript werden.
* **Referrer-Policy** steuert, wie viel von deiner Seitenadresse an andere Websites geteilt wird, wenn jemand einen Link anklickt.
* **Cookie-Flags** halten Anmelde-Cookies von Skripten fern und von unverschlüsselten Verbindungen.

## Warum sie oft fehlen

Keine davon ist standardmäßig aktiv. Frameworks und Hoster überlassen sie dir. Eine Website funktioniert ohne sie problemlos, deshalb merkt es niemand, bis etwas schiefgeht.

Die meisten lassen sich an einer Stelle ergänzen, in der Konfigurationsdatei deines Hosters oder Frameworks. Content Security Policy braucht mehr Sorgfalt, denn eine strenge Richtlinie kann Skripte blockieren, die deine Website braucht. Deshalb wird sie meist schrittweise eingeführt.

Ein Scan liest die Einstellungen, die deine Website tatsächlich sendet, und sagt, welche fehlen oder zu locker sind.

> **Try it**
>
> Öffne [deine Feststellungen](/app/findings) und suche nach den Browser-Einstellungen. Kopiere den Prompt in deine KI, dann kann sie die Einstellungen für dein Framework ergänzen.