CORS und Cross-Origin-Zugriff

Wessen Skripte die Seiten dieser Website lesen dürfen. Ein gespiegelter Origin mit erlaubten Credentials lässt jede Seite, die ein angemeldeter Besucher öffnet, diese Website in seinem Namen lesen.

• Hilfe

Browser verhindern, dass ein Skript auf einer Website Antworten einer anderen liest – es sei denn, diese erlaubt es per CORS-Header. Access-Control-Allow-Origin nennt, welche Origins lesen dürfen; Access-Control-Allow-Credentials: true erlaubt dabei die Cookies des Besuchers. Falsch gesetzt, lassen diese Header jede Website Ihre Seiten so lesen, wie ein angemeldeter Besucher sie sieht: persönliche Daten, Tokens, Kontodetails.

So prüft SiteScan

Der Scanner ruft die Startseite mit dem Origin einer erfundenen Website ab und wertet die Antwort aus:

• grün „Nur eigener Origin“: Die unbekannte Website erhält keine Erlaubnis;
• gelb *: Jede Website darf die Seite lesen, aber ohne Cookies – üblich für öffentliche Dateien auf einem CDN, ungewöhnlich für eine Seite;
• gelb „Jeder Origin (gespiegelt)“: Der Server gibt jeden anfragenden Origin zurück, ein getarnter Platzhalter;
• rot: Der Origin wird gespiegelt und Credentials sind erlaubt – jede Seite, die ein angemeldeter Besucher öffnet, kann Ihre Website in seinem Namen lesen.

So beheben Sie es

Führen Sie eine explizite Liste erlaubter Origins und vergleichen Sie den Origin der Anfrage damit; ohne Treffer senden Sie nichts. Kombinieren Sie einen gespiegelten Origin nie mit Allow-Credentials: true. Die meisten Seiten brauchen gar keine CORS-Header, nur APIs, die von anderen Domains aufgerufen werden. Die übrigen Zeilen der Gruppe erklärt die Seite zu den Security-Headern.