Web & Zertifikate

Was ist Security-Header? HTTP-Sicherheitsheader erklärt

Security-Header sind HTTP-Antwortheader, mit denen eine Website den Browser anweist, Angriffe wie Cross-Site-Scripting, Clickjacking und Datenabfluss zu blockieren.

So funktioniert Security-Header

Content-Security-Policy (CSP) legt fest, aus welchen Quellen Skripte, Styles und Bilder geladen werden dürfen – das ist der wirksamste Schutz gegen eingeschleusten Code. X-Content-Type-Options: nosniff verhindert, dass der Browser Dateitypen errät.

Gegen Clickjacking, also das unsichtbare Einbetten deiner Seite in fremde Seiten, helfen X-Frame-Options oder die CSP-Direktive frame-ancestors. Referrer-Policy begrenzt, welche Adressen an andere Seiten weitergegeben werden, und Permissions-Policy schaltet Browserfunktionen wie Kamera oder Standort ab.

Header wie Server oder X-Powered-By sollten keine Versionsnummern verraten, weil Angreifer damit gezielt nach bekannten Lücken suchen. Der Domain Trust Check prüft die Header der tatsächlichen Startseite nach allen Weiterleitungen.

Beispiel

Content-Security-Policy: default-src 'self'; frame-ancestors 'self'
X-Content-Type-Options: nosniff
Referrer-Policy: strict-origin-when-cross-origin
Permissions-Policy: camera=(), microphone=(), geolocation=()

Eine CSP muss zur Website passen: Externe Skripte, Schriften oder Analysedienste müssen ausdrücklich erlaubt werden.

Typische Fehler

Eine CSP mit 'unsafe-inline' und 'unsafe-eval', die kaum noch schützt.
Header nur auf der Startseite, aber nicht auf Unterseiten oder Fehlerseiten.
X-Powered-By: PHP/8.x oder Server: Apache/2.4.x mit Versionsnummer.

So bewertet der Domain Trust Check Security-Header

Kriterium „Security-Header“ (Gewicht 2 von 5): HTTP-Sicherheitsheader der tatsächlichen Startseite: Content-Security-Policy, X-Content-Type-Options, Clickjacking-Schutz, Referrer-Policy, Permissions-Policy und keine Versionsangaben.

Standard: W3C Content Security Policy Level 3, RFC 7034 (X-Frame-Options)