Question 1

Welche Sicherheits-Header sollte jede Website haben?

Accepted Answer

Die wichtigsten Sicherheits-Header: Content-Security-Policy (CSP) zur XSS-Prävention, Strict-Transport-Security (HSTS) zur HTTPS-Durchsetzung, X-Frame-Options oder CSP frame-ancestors gegen Clickjacking, X-Content-Type-Options: nosniff gegen MIME-Sniffing, und Referrer-Policy zur Kontrolle von Referrer-Lecks. Permissions-Policy wird zunehmend wichtig zur Einschränkung von Browser-Feature-Zugriffen.

Question 2

Was ist HSTS und warum ist es wichtig?

Accepted Answer

HTTP Strict Transport Security (HSTS) weist Browser an, für eine Domain für eine festgelegte Dauer (max-age) immer HTTPS statt HTTP zu verwenden. Sobald ein Browser diesen Header sieht, verweigert er Verbindungen über einfaches HTTP — auch wenn der Nutzer http:// manuell eingibt. Die includeSubDomains-Direktive erweitert dies auf alle Subdomains, und preload ermöglicht die Aufnahme in Browser-Vorladelisten.

Question 3

Was machen CORS-Header wie Access-Control-Allow-Origin?

Accepted Answer

CORS-Header (Cross-Origin Resource Sharing) steuern, welche Origins Cross-Origin-Anfragen an Ihren Server stellen dürfen. Access-Control-Allow-Origin gibt erlaubte Origins an (für authentifizierte Endpunkte spezifische Origins statt * verwenden). Access-Control-Allow-Methods listet erlaubte HTTP-Methoden, Access-Control-Allow-Headers erlaubte Anfrage-Header auf. Diese Header werden in der Server-Antwort gesetzt, nicht in der Anfrage.

Question 4

Wie arbeiten Cache-Control und ETag zusammen?

Accepted Answer

Cache-Control legt die Caching-Richtlinie fest (z.B. max-age=3600, no-cache, no-store). ETag ist ein Fingerabdruck des Antwortinhalts. Wenn eine gecachte Antwort abläuft, sendet der Browser den ETag im If-None-Match-Anfrage-Header. Hat sich der Inhalt nicht geändert, antwortet der Server mit 304 Not Modified (ohne Body) und spart Bandbreite. Cache-Control: no-cache bedeutet 'immer neu validieren', nicht 'nicht cachen'.

Question 5

Was ist Content-Security-Policy und wie konfiguriert man es?

Accepted Answer

CSP ist ein Antwort-Header, der dem Browser mitteilt, welche Quellen für Skripte, Stile, Bilder und andere Ressourcen geladen werden dürfen. Ein einfaches CSP wie 'default-src self; script-src self https://cdn.example.com' blockiert alle Ressourcen außer der eigenen Origin und dem angegebenen CDN. Beginnen Sie mit Content-Security-Policy-Report-Only zum Testen ohne Blockierung, dann wechseln Sie in den Durchsetzungsmodus. Vermeiden Sie 'unsafe-inline' und 'unsafe-eval', da sie den XSS-Schutz schwächen.

HTTP-Header-Analyzer

Häufig gestellte Fragen

Comments & Feedback