Zum Inhalt springen
uencoder

Security Header

Sicherheits-HTTP-Header sind Response-Header, die den Browser anweisen, Sicherheitsmechanismen zu aktivieren, etwa CSP, HSTS und X-Frame-Options.

Zweck

Sicherheitsrichtlinien über HTTP-Header deklarieren, damit der Browser Schutzmaßnahmen automatisch aktiviert und die Last der Verteidigung im Code sinkt.

Mechanismus

Zentrale Header: Content-Security-Policy (XSS-Abwehr), Strict-Transport-Security (HSTS), X-Frame-Options (Clickjacking), X-Content-Type-Options: nosniff (MIME-Sniffing), Referrer-Policy (Referrer-Lecks), Permissions-Policy (API-Berechtigungen).

Anwendungsfälle

  • Sicherheitshärtung von Webanwendungen
  • Abwehr von XSS und Clickjacking
  • Erzwingen von HTTPS
  • Sicherheits-Compliance

Beispiele

  • Eingabe 
    Content-Security-Policy: default-src 'self'
    Output 
    Restricts resource sources

    CSP header

Häufige Fehler

Missing key security headers
Scan with securityheaders.com and fill the gaps

Verwandte Begriffe

CSP
CSP (Content Security Policy) deklariert über einen HTTP-Header, welche Ressourcenquellen eine Seite laden darf, und verkleinert die Angriffsfläche für XSS und Dateninjektion.
GLOSSAR
HSTS
HSTS (HTTP Strict Transport Security) erklärt über einen HTTP-Header, dass eine Website nur per HTTPS erreichbar ist, und verhindert SSL-Stripping- und Downgrade-Angriffe.
GLOSSAR
CORS
CORS (Cross-Origin Resource Sharing) ist ein Browsersicherheitsmechanismus, der über HTTP-Header steuert, ob eine Seite auf Ressourcen einer anderen Herkunft zugreifen darf, und Cross-Site-Lesezugriffe verhindert.
GLOSSAR
Clickjacking
Clickjacking ist ein Angriff, bei dem ein transparentes iframe über eine Köderseite gelegt wird, sodass das Opfer unbemerkt auf Schaltflächen der Zielseite klickt.
GLOSSAR

References