X-Content-Type-Options: nosniff

nosniff hindert den Browser daran, den Dateityp aus dem Inhalt zu raten — genau so wird ein hochgeladenes Bild als Skript ausgeführt.

• Hilfe

Browser haben früher den Dateityp „erschnüffelt“: Sah eine Antwort wie ein Skript oder HTML aus, behandelten sie sie auch so – egal, welcher Typ angegeben war. So ließ sich eine als Bild oder Text getarnte Datei hochladen und vom Browser ausführen. Der Header X-Content-Type-Options: nosniff schaltet das Raten ab: Der Browser vertraut nur dem Content-Type des Servers und führt kein Skript aus und wendet kein Stylesheet an, dessen Typ nicht passt.

So bewertet SiteScan

Der Header kennt nur einen gültigen Wert. Genau nosniff ist „Stark“; jeder andere Wert ist „Schwach“, weil Browser ihn ignorieren; kein Header heißt „Fehlt“.

So setzen Sie ihn

• nginx: add_header X-Content-Type-Options "nosniff" always;
• Apache: Header always set X-Content-Type-Options "nosniff"

Senden Sie ihn mit jeder Antwort, nicht nur mit HTML. Prüfen Sie vorher, ob der Server korrekte Typen liefert – text/css für Stylesheets, text/javascript oder application/javascript für Skripte –, sonst laden diese Dateien nicht mehr. Es ist einer der günstigsten Header und macht selten etwas kaputt. Den vollständigen Satz zeigt die Seite zu den Security-Headern.