Security-Header (HSTS, CSP und weitere)

Kurz: Security-Header sind HTTP-Antwortzeilen, mit denen ein Server dem Browser Schutzregeln mitgibt.

Genauer: Der Browser setzt sie um und blockt dadurch ganze Angriffsklassen, auch wenn die Anwendung selbst einen Fehler hat. Sie sind eine zweite Verteidigungslinie.

Im Detail

• Strict-Transport-Security (HSTS): Der Browser nutzt für die Domain nur noch HTTPS, auch bei getipptem „http://”.
• Content-Security-Policy (CSP): Legt fest, von wo Skripte, Bilder und Frames geladen werden dürfen. Schützt stark gegen XSS (Cross-Site Scripting).
• X-Content-Type-Options: nosniff: Der Browser darf Dateitypen nicht raten.
• X-Frame-Options / frame-ancestors: Verhindert Einbetten in fremde Seiten (Clickjacking).
• Referrer-Policy: Steuert, wie viel von der Herkunftsadresse mitgeschickt wird.
• Permissions-Policy: Schaltet Kamera, Mikrofon, Standort für die Seite ab oder frei.
• Cross-Origin-Opener-Policy: Trennt Fenster verschiedener Herkunft.
• Prüfen: Online-Scanner bewerten die Header einer Seite.

Siehe auch: CORS (Cross-Origin Resource Sharing), OWASP Top 10