HTTP-Methode TRACE

Ob der Server TRACE beantwortet, indem er die Anfrage zurückschickt. Niemand braucht die Methode, und ein dazu verleitetes Skript liest die angehängten Cookies.

• Hilfe

TRACE ist eine HTTP-Methode zur Fehlersuche: Der Server schickt die empfangene Anfrage samt Headern im Antworttext zurück. Eine normale Website braucht sie nicht. Das Risiko heißt Cross-Site-Tracing: Kann ein Skript eine TRACE-Anfrage senden, stehen im Echo die Cookies und der Authorization-Header, die der Browser angehängt hat – auch HttpOnly-Cookies, die Skripte sonst nicht lesen dürfen. Moderne Browser sperren TRACE für Skripte, Proxys, Plugins und andere Clients aber nicht immer, und die offene Methode verrät Scannern, dass die Serverkonfiguration nie überprüft wurde.

So prüft SiteScan

Der Scanner sendet eine TRACE-Anfrage an die Startseite. Antwortet der Server mit 200 und dem Typ message/http – einem echten Echo –, zeigt die Zeile rot „Antwortet“. Jede andere Antwort, etwa 405 Method Not Allowed, ist grün „Abgelehnt“.

So schalten Sie es ab

• Apache: TraceEnable off in der Hauptkonfiguration.
• nginx unterstützt TRACE nicht und lehnt es standardmäßig ab; kommt trotzdem ein Echo, stammt es von einem Backend oder Proxy dahinter.
• IIS: das Verb TRACE in der Anforderungsfilterung (Request Filtering) sperren.
• Auf CDN oder Load Balancer alle Methoden außer GET, HEAD, POST und den von Ihrer API benötigten blockieren.

Weitere Schritte auf der Seite zu den Security-Headern.