ON. WebMeter

Sicherheits-Header der Website

Ein paar Zeilen in der Antwort des Servers sagen dem Browser, was die Seite laden darf und wie sie sich verhalten soll. Die Einrichtung kostet wenig und schützt Ihre Besucher.

Aktualisiert

Was Sicherheits-Header sind

Mit jeder Seite sendet der Server HTTP-Header. Einige davon schalten Schutzfunktionen direkt im Browser ein:

  • Content-Security-Policy (CSP) legt fest, woher die Seite Skripte, Styles und andere Ressourcen laden darf. Sie begrenzt den Schaden, wenn fremder Code in die Seite gelangt.
  • Strict-Transport-Security (HSTS) weist den Browser an, die Website nur über HTTPS zu öffnen. Empfohlen ist eine Gültigkeit von mindestens einem Jahr (max-age=31536000).
  • X-Frame-Options oder CSP frame-ancestors verhindern, dass Ihre Website in eine fremde Seite eingebettet wird, um Besuchern Klicks unterzuschieben.
  • X-Content-Type-Options: nosniff verbietet dem Browser, Dateitypen zu erraten.
  • Referrer-Policy steuert, wie viel von der Seitenadresse an andere Websites weitergegeben wird; eine sinnvolle Wahl ist strict-origin-when-cross-origin.
  • Permissions-Policy schaltet Funktionen ab, die die Website nicht braucht, etwa Kamera, Mikrofon oder Standort.

Dazu gehört die Datei security.txt unter /.well-known/security.txt (RFC 9116) mit einem Kontakt für die Meldung von Sicherheitslücken und einem Ablaufdatum.

Warum das für kleine Unternehmen wichtig ist

Kleine Websites laufen oft auf einem CMS mit vielen Plugins, und ist eines davon verwundbar, begrenzen die Header, was ein Angreifer den Besuchern antun kann. Fehlende Header sieht außerdem jeder, der Ihre Website überprüft, etwa ein Auftraggeber bei einer Ausschreibung oder ein Versicherer.

Häufige Fehler bei Sicherheits-Headern

  • CSP mit 'unsafe-inline' und 'unsafe-eval' für Skripte, oder nur upgrade-insecure-requests, das Skripte nicht einschränkt.
  • HSTS mit einer Gültigkeit von wenigen Minuten oder Tagen.
  • X-Frame-Options in einem meta-Tag, wo der Browser diesen Schutz nicht anwendet.
  • Die Header Server oder X-Powered-By verraten die genaue Softwareversion.
  • Eine security.txt mit abgelaufenem Expires-Datum.

Was WebMeter prüft und was nicht

WebMeter liest die Header, die der Server mit Ihrer Startseite sendet: CSP, HSTS, Schutz vor Einbettung in Frames, X-Content-Type-Options, Referrer-Policy und Permissions-Policy. Es bewertet auch Cookie-Attribute, SRI bei Skripten fremder Domains, CORS, preisgegebene Softwareversionen und die Datei security.txt. Zum Vergleich schätzt es die Noten von Mozilla Observatory und securityheaders.com.

Es bewertet nur die Startseite, keine APIs oder anderen Teile der Website, und testet nichts aus. Gute Header beheben keine Fehler in der Anwendung und keine veraltete Software.

Prüfen Sie Ihre Website kostenlos

Geben Sie Ihre Domain ein und sehen Sie, welche Header Ihre Website sendet, zusammen mit den übrigen Bereichen Ihrer Website.

Website prüfen

Sie wissen mit dem Ergebnis nichts anzufangen? Wir bieten eine unverbindliche Beratung an, schreiben Sie einfach an kontakt@webmeter.eu.

FAQ zu Sicherheits-Headern

Können Header die Website beschädigen?

Ja, vor allem CSP und bei HSTS die Option includeSubDomains. Deshalb sollten sie vorsichtig und schrittweise eingeführt werden, damit sie weder benötigte Skripte noch den Zugriff über HTTPS blockieren.

Was ist security.txt, und braucht ein kleines Unternehmen das?

Eine Textdatei unter /.well-known/security.txt (RFC 9116) mit einem Kontakt für die Meldung von Sicherheitslücken und einem Ablaufdatum. Sie kostet nichts, und wer auf Ihrer Website einen Fehler findet, weiß, wem er ihn melden kann.

Bedeutet eine gute Note bei den Headern, dass die Website sicher ist?

Nein. Header sind eine Schutzschicht im Browser der Besucher. Sie beheben keine Fehler in der Anwendung, kein veraltetes CMS und keine schwachen Passwörter. Eine gute Note bedeutet nur, dass diese Schicht eingerichtet ist.