Security Headers sind HTTP-Header, mit denen eine Seite dem Browser Sicherheitsregeln für ihre Anzeige mitgibt. Sie kosten nichts an Ladezeit und wirken bei jedem Besucher, dessen Browser sie kennt.
- Security Headers
HTTP-Header, mit denen eine Seite dem Browser Sicherheitsregeln für ihre Anzeige mitgibt.
Beispiel: „Die Security Headers standen in der Serverkonfiguration und galten für alle Seiten.“Auch: Es gibt Prüfdienste, die eine Adresse aufrufen und die gesetzten Header mit einer Note bewerten. Die Note ist ein Anhaltspunkt und kein Ziel.
Abgrenzung zur Content Security Policy: Die ist einer dieser Header, nur eben der umfangreichste.
Welche Security Headers heute zählen
Header | Was er bewirkt |
|---|---|
Content-Security-Policy | Legt fest, aus welchen Quellen Skripte, Bilder und Stile geladen werden dürfen |
Strict-Transport-Security | Erzwingt HTTPS für eine festgelegte Dauer, auch beim nächsten Besuch |
X-Content-Type-Options | Verbietet dem Browser, den Dateityp selbst zu erraten |
Referrer-Policy | Bestimmt, wie viel der eigenen Adresse beim Weiterklicken mitgeht |
Permissions-Policy | Schaltet Kamera, Mikrofon, Standort und ähnliche Funktionen ab |
Cross-Origin-Opener-Policy | Trennt das eigene Fenster von fremden Seiten, die es geöffnet haben |
Daraus folgt eine Reihenfolge für den Einstieg: Die beiden ersten Zeilen bringen den größten Gewinn, die übrigen sind in Minuten gesetzt. Der ältere X-Frame-Options ist in der Content Security Policy aufgegangen, schadet als Ergänzung für alte Browser aber nicht.
Wo Security Headers gesetzt werden
An genau einer Stelle, sonst widersprechen sie sich. Üblich ist die Konfiguration des Webservers, also nginx oder Apache samt .htaccess; vor einem CDN kommt die Frage dazu, ob der Dienst eigene Header setzt. Wer sie zusätzlich in der Anwendung setzt, bekommt doppelte Angaben, und welche gilt, hängt vom Header ab.
Was Security Headers nicht leisten
Sie schützen den Server nicht. Ein Header ist eine Bitte an den Browser, und er wirkt nur bei Besuchern, die mit einem Browser kommen. Gegen Angriffe auf die Anwendung selbst, gegen gestohlene Zugangsdaten und gegen veraltete Software richten sie nichts aus.