Sicherheit
Einfache Härtungs-Kopfzeilen fehlen
Woran du es erkennst
Den Antworten fehlen X-Content-Type-Options mit nosniff und eine Referrer-Policy — zwei günstige Angaben, die das Standardverhalten des Browsers enger fassen.
Warum es zählt
Ohne nosniff kann ein Browser eine hochgeladene oder falsch ausgezeichnete Datei als einen anderen Typ deuten und ausführen — ein klassischer Weg für eingeschleusten Code. Ohne Referrer-Policy gehen vollständige Adressen, die Kennungen oder Suchbegriffe enthalten können, an jedes fremde Ziel mit, das die Seite verlinkt oder lädt.
So behebst du es
- Setze X-Content-Type-Options auf nosniff bei jeder Antwort — eine Zeile ohne Nachteil, auf jedem Server und in jedem CDN.
- Setze eine zurückhaltende Referrer-Policy als sinnvolle Voreinstellung: eigene Links behalten die vollständige Adresse, fremde Ziele sehen nur die Herkunft.
- Prüfe vorher, ob Auswertung oder Zahlungsanbindung auf die vollständige Adresse angewiesen sind, bevor du noch enger fasst.
- Erwäge eine restriktive Berechtigungsrichtlinie, damit Fremdskripte nicht still auf Kamera, Mikrofon oder Standort zugreifen können.