Security Headers
In einer Welt, in der das Internet immer wichtiger wird, ist die Sicherheit von Webseiten von grösster Bedeutung. Einer der wichtigsten Aspekte der Webseitensicherheit sind sogenannte "security headers". Diese Headers sind ein wichtiger Schutzmechanismus gegen verschiedene Arten von potenziellen Security-Issues.
- Autor:in
- Chris Furer
- Veröffentlicht
Was sind security headers?
Security headers sind spezielle HTTP-Header, die von Webservern verwendet werden, um zusätzliche Sicherheitseinstellungen für eine Webseite festzulegen. Diese Einstellungen können dazu beitragen, verschiedene Arten von Angriffen abzuwehren, indem sie beispielsweise den Zugriff auf bestimmte Ressourcen einschränken oder den Browser anweisen, bestimmte Aktionen auszuführen. Die meisten modernen Webbrowser unterstützen security headers und nutzen sie, um die Sicherheit einer Webseite zu verbessern.
Welche Arten von security headers gibt es?
Es gibt eine Vielzahl von verschiedenen security headers, drei der wichtigsten sind:
- Content Security Policy (CSP): Dieser security header erfordert eine genaue Definition der Richtlinien, damit nicht irgendwelche Inhalte falsch gerendert werden. Die Content-Security-Policy regelt dabei, woher Ressourcen stammen dürfen und ob Inline Scripts und Inline CSS möglich sind. Außerdem ersetzt sie mit dem Eintrag »frame-ancestors« den alten X-Frame-Options Header.
- X-Content-Type-Options: Mit diesem Header kann verhindert werden, dass das sogenannte MIME-Sniffing stattfindet. Wird kein MIME-Typ hinterlegt, versuchen einige Browser selbst einen zu finden. Es wird also probiert, das richtige Format zu erkennen. Problem bei der Sache ist, dass genau dieses Verhalten als Sicherheitslücke ausgenutzt werden kann, um bösartige XSS-Angriffe (Cross Site Scripting) zu senden. Daher sollte das MIME-Sniffing unbedingt deaktiviert werden.
- Referrer-Policy: Besonders wichtig und nicht mehr wegzudenken ist die Referrer-Policy. Sie gibt an, welche Informationen weitergegeben werden, wenn Nutzer:innen auf eine andere Seite navigieren. Für gewöhnlich ist es so: Jemand kauft auf Amazon ein und geht dann rüber zur Google-Suche. Google sieht als Referrer jetzt Amazon.de und weiß somit genau, wo derjenige zuletzt gewesen ist. Um das zu verhindern, könnte Amazon die Referrer-Policy konfigurieren. Hier gibt es verschiedene Einstellungen, die je nach Bedarf gewählt werden können.
Es ist enorm wichtig, diese security headers nicht zu vernachlässigen und sinnvoll zu setzen. Es gibt verschieden Online Tools mit denen Webseiten auf die security headers getestet werden können (z.B.: https://securityheaders.com/).
Mehr über Security Headers findet man hier.
Verwandte Themen
Weiterführende Projekte und Inhalte zum Thema