HTTP-Security-Header und Note

Die Antwort-Header, die dem Browser sagen, was er zulassen darf. Zusammen entscheiden sie, wie weit ein eingeschleustes Skript oder ein Framing-Angriff wirklich kommt.

• Hilfe

Security-Header sind Anweisungen, die der Server mit jeder Seite mitschickt. Sie beheben keine Fehler im Code, begrenzen aber, was sich mit einem Fehler anstellen lässt. Gelingt es einem Angreifer, ein Skript einzuschleusen, verhindert eine strenge Richtlinie, dass es Code von außen nachlädt; bettet jemand die Website für untergeschobene Klicks in einen Frame ein, verweigert der Browser die Anzeige.

So wird die Note berechnet

SiteScan liest die Header der Startseite und bewertet sechs davon: Strict-Transport-Security, Content-Security-Policy, X-Content-Type-Options, X-Frame-Options, Referrer-Policy und Permissions-Policy. Ein korrekt gesetzter Header bringt 2 Punkte und heißt „Stark“, ein vorhandener, aber zu lockerer 1 Punkt und „Schwach“, ein fehlender 0. Von 12 möglichen Punkten ergeben mindestens 11 die Note A, 9 ein B, 7 ein C, 5 ein D, 3 ein E, alles darunter ein F.

Drei weitere Zeilen der Gruppe fließen nicht in die Note ein: HSTS-Preload, Cross-Origin-Zugriff (CORS) und die TRACE-Methode.

Wo man sie setzt

Header setzen Sie im Webserver (add_header in nginx, Header always set in Apache), in den Regeln des CDN oder in der Middleware des Frameworks – einmal für alle Antworten, nicht Seite für Seite. Einen fertigen Satz finden Sie im Artikel über Security-Header.