Können Sicherheits-Header meine Website lahmlegen?

Die meisten nicht. Die Content-Security-Policy schon, wenn sie Skripte blockiert, die Sie brauchen. Beginnen Sie mit Content-Security-Policy-Report-Only, um zu sehen, was blockiert würde.

Ist X-XSS-Protection noch nötig?

Nein. Moderne Browser haben diesen Filter entfernt. Verwenden Sie stattdessen eine Content-Security-Policy.

Warum prüft der Scan nur die Startseite?

Header werden meist für die ganze Website auf einmal gesetzt. Der Scan ist bewusst passiv: ein Besuch, kein Crawling.

Sicherheits-Header prüfen

Testen Sie, welche HTTP-Sicherheits-Header eine Website sendet, und erhalten Sie eine Note von A bis F mit dem genauen Header, den Sie hinzufügen sollten. HTTPS, Cookies und sichtbare Softwareversionen werden im selben Scan geprüft.

Welche Header wichtig sind

Strict-Transport-Security (HSTS): Browser verwenden für Ihre Website nur HTTPS, auch wenn jemand http:// eintippt.

Content-Security-Policy (CSP): welche Skripte, Styles und Frames die Seite laden darf. Der beste Schutz gegen Cross-Site-Scripting.

X-Frame-Options oder CSP frame-ancestors: verhindert, dass andere Websites Ihre Seite in einem versteckten Frame anzeigen (Clickjacking).

X-Content-Type-Options: nosniff, damit Browser keine Dateitypen raten.

Referrer-Policy und Permissions-Policy: was Ihre Website mit anderen Websites teilt und welche Browserfunktionen sie nutzen darf.

Beispiel für nginx

Fügen Sie diese Zeilen in den server-Block Ihrer Website ein und laden Sie nginx neu. Bauen Sie die Content-Security-Policy Schritt für Schritt auf, denn eine zu strenge Richtlinie kann Skripte lahmlegen.

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

add_header X-Content-Type-Options "nosniff" always;

add_header X-Frame-Options "SAMEORIGIN" always;

add_header Referrer-Policy "strict-origin-when-cross-origin" always;

add_header Permissions-Policy "camera=(), microphone=(), geolocation=()" always;

Apache, IIS, Cloudflare und Hosting-Panels

Apache verwendet „Header always set“ in der .htaccess oder im Virtual Host, IIS verwendet customHeaders in der web.config, und Cloudflare nutzt Transform Rules. Bei Managed Hosting schicken Sie den Link zum Bericht an Ihren Anbieter: Jeder Befund nennt den genauen Header.

Fragen

Können Sicherheits-Header meine Website lahmlegen?: Die meisten nicht. Die Content-Security-Policy schon, wenn sie Skripte blockiert, die Sie brauchen. Beginnen Sie mit Content-Security-Policy-Report-Only, um zu sehen, was blockiert würde.
Ist X-XSS-Protection noch nötig?: Nein. Moderne Browser haben diesen Filter entfernt. Verwenden Sie stattdessen eine Content-Security-Policy.
Warum prüft der Scan nur die Startseite?: Header werden meist für die ganze Website auf einmal gesetzt. Der Scan ist bewusst passiv: ein Besuch, kein Crawling.

OZAG Technologies · KVK 42167370 · Laan van Oversteen 20, 2289 CX Rijswijk · +31 6 24496620 · support@ozagsecurity.com