Security-Header für Websites: eine Checkliste mit 9 Punkten, die Sie heute umsetzen können

01Warum Header wichtig sind

Security-Header weisen den Browser des Besuchers an, riskantes Verhalten zu verweigern: Ihre Seite im Frame einer fremden Seite zu laden, Dateitypen zu raten, Ihre vollständige Adresse an andere Seiten zu senden oder Skripte aus unbekannten Quellen auszuführen. Sie kosten nichts, machen die Seite nicht schwerer und blockieren ganze Angriffsklassen.

021. HTTPS mit gültigem Zertifikat

Hier beginnt alles. Die gesamte Website sollte über HTTPS mit einem gültigen, nicht abgelaufenen Zertifikat laden. Kostenlose Zertifikate von Let's Encrypt oder Ihrem CDN genügen.

032. HTTP leitet auf HTTPS weiter

Wenn jemand die einfache Adresse http:// eingibt, sollte der Server mit einer permanenten Weiterleitung auf die Version https:// antworten.

043. HSTS: HTTPS im Gedächtnis behalten

Der Header Strict-Transport-Security weist den Browser an, für Ihre Domain lange Zeit HTTPS zu verwenden, selbst wenn der Besucher http eintippt.

Strict-Transport-Security: max-age=31536000; includeSubDomains

054. Content Security Policy (CSP)

CSP legt fest, woher Skripte, Stile und Bilder geladen werden dürfen. Sie ist die stärkste Abwehr gegen Cross-Site-Scripting (XSS) und der am schwierigsten richtig einzustellende Header.

Content-Security-Policy: default-src 'self'; script-src 'self'; object-src 'none'; base-uri 'self'; frame-ancestors 'none'

065. Schutz vor Clickjacking

Verhindern Sie, dass andere Seiten Ihre Seiten in einem versteckten Frame einbetten. Der moderne Weg ist frame-ancestors in Ihrer CSP, und X-Frame-Options deckt ältere Browser ab.

X-Frame-Options: DENY

076. X-Content-Type-Options

Weist den Browser an, dem deklarierten Dateityp zu vertrauen und nicht zu raten. Eine Zeile, kein Nachteil.

X-Content-Type-Options: nosniff

087. Referrer-Policy

Steuert, wie viel von Ihrer Seitenadresse weitergegeben wird, wenn ein Besucher auf einen Link zu einer anderen Seite klickt.

Referrer-Policy: strict-origin-when-cross-origin

098. Keine Technologie-Hinweise

Header wie Server: nginx/1.18.0 oder X-Powered-By: PHP/7.4 verraten Angreifern genau, nach welchen Versionen sie suchen müssen. Entfernen oder verbergen Sie sie, wo Ihre Plattform es zulässt.

109. Sichere Cookies

Cookies, die eine Anmeldesitzung enthalten, sollten Secure (nur HTTPS), HttpOnly (für Skripte nicht lesbar) und SameSite (begrenzt das seitenübergreifende Senden) tragen.

Set-Cookie: session=...; Secure; HttpOnly; SameSite=Lax

11Wo Sie sie festlegen

Legen Sie bei den statischen Ressourcen von Cloudflare Workers eine einfache Datei _headers neben Ihre Website-Dateien:

/*
  Strict-Transport-Security: max-age=31536000; includeSubDomains
  X-Content-Type-Options: nosniff
  X-Frame-Options: DENY
  Referrer-Policy: strict-origin-when-cross-origin

Andere Hoster haben dafür ihren eigenen Ort: nginx add_header, Apache Header set oder Ihr Hosting-Panel.

12Testen Sie Ihre Website

Geben Sie Ihre Adresse ein und bestätigen Sie, dass Sie sie prüfen dürfen. Es wird eine normale Anfrage wie von jedem Browser gesendet, und nichts wird gespeichert.