Die Startseite sendet weniger als vier der sechs gängigen Sicherheits-Header, die Besucher vor abgefangenen Verbindungen, Clickjacking und eingeschleusten Skripten schützen. Die meisten erfordern nur eine einzige Konfigurationszeile.
Was es bedeutet
Sicherheits-Header sind Anweisungen, die der Server mit jeder Seite sendet und die dem Browser sagen, was er zulassen soll. Sie beheben keine Schwachstellen der Website selbst, erschweren aber viele gängige Angriffe erheblich.
Bewertet werden diese sechs: Strict-Transport-Security (HSTS), Content-Security-Policy, X-Content-Type-Options, X-Frame-Options (oder CSP frame-ancestors), Referrer-Policy und Permissions-Policy.
Was es auslöst
Einmal pro Woche lädt die Prüfung „Sicherheits-Header“ die Startseite über HTTPS und zählt, wie viele der sechs sie sendet: alle sechs ergeben ein A, fünf ein B, vier ein C, drei ein D, zwei ein E und weniger ein F. Bei D oder schlechter wird dieses Problem mit Schweregrad Mittel gemeldet, mit der Note im Titel und einer Liste der fehlenden Header. Es erscheint in der App und wird nicht per E-Mail verschickt.
Ein fehlender HSTS-Header wird außerdem separat gemeldet. Siehe Kein HSTS-Header.
Häufige Ursachen
- Die meisten Webserver und Hosting-Tarife senden standardmäßig keinen dieser Header.
- Die Header sind für einige Ordner oder Server gesetzt, aber nicht für die Startseite.
So beheben Sie es
- Fügen Sie zuerst die einfachen hinzu, die selten etwas kaputtmachen: X-Content-Type-Options: nosniff, X-Frame-Options: SAMEORIGIN, Referrer-Policy: strict-origin-when-cross-origin und eine Permissions-Policy wie camera=(), microphone=(), geolocation=().
- Legen Sie sie in Ihrem Webserver, CDN, Hosting-Control-Panel oder einem Sicherheits-Plugin für Ihr CMS fest.
- Fügen Sie Content-Security-Policy zuletzt hinzu, nachdem Sie sie mit Content-Security-Policy-Report-Only getestet haben, denn eine strenge Richtlinie kann Ihre eigenen Skripte, Schriften oder Ihr Tracking blockieren.
Wann es aufgehoben wird
Das Problem verschwindet bei der nächsten wöchentlichen Prüfung, die mindestens vier der sechs Header findet (Note C oder besser), und seine Maßnahme verschwindet 7 Tage später aus dem Maßnahmenplan.
Wenn Sie die Maßnahme als erledigt markieren und das Problem 14 Tage später noch gefunden wird, kehrt sie als „Behebung hat nicht funktioniert“ zurück. Siehe Den Maßnahmenplan nutzen.