Sicherheitsheader fehlt

Warum es wichtig ist

Ein paar Zeilen in der Antwort sagen dem Browser, was erlaubt ist: die Website nicht in eine fremde Seite einzubetten, Dateitypen nicht zu erraten, nicht alles an andere Seiten weiterzugeben. Ohne sie ist eine Website leichter missbrauchbar, z. B. für Clickjacking.

Wie Snaglist es prüft

Das ist Teil der Sicherheitsprüfung, eine separate Überprüfung neben dem Crawl, in Studio und Bureau, und nur auf einer verifizierten Website. Snaglist prüft nur, was jeder Besucher von außen sehen kann. Es loggt sich nie ein, rät keine Passwörter und führt keine Angriffe aus. Es liest die Antwort-Header der Startseite und prüft fünf davon: X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Content-Security-Policy und Permissions-Policy. Jeder fehlende Header wird aufgelistet.

Häufige Ursachen

• Der Hoster oder Server setzt sie nicht standardmäßig
• Kein Sicherheits-Plugin oder keine Server-Regel fügt sie hinzu
• Eine Content-Security-Policy wurde weggelassen, weil sie schwerer einzurichten ist

So behebst du es

1. Beginne mit X-Content-Type-Options, X-Frame-Options und Referrer-Policy. Sie brechen selten etwas.
2. Setze sie in den Servereinstellungen, in der .htaccess oder mit einem Sicherheits-Plugin.
3. Teste eine Content-Security-Policy zuerst im Report-Only-Modus.
4. Führe die Sicherheitsprüfung erneut aus, um es zu bestätigen.

So wird es im Bericht dargestellt

Im Bericht für deinen Kunden erscheint das unter der Überschrift „Deiner Seite fehlen einige Standard-Schutzmaßnahmen“. Wenn alles in Ordnung ist, steht im Bericht: „Die Standard-Sicherheitsheader sind gesetzt“.