Sicherheit

Externe Skripte ohne Subresource Integrity (SRI)

Üblicher Schweregrad: niedrig · Aufwand: gering

Woran du es erkennst

Skripte oder Stylesheets werden von einer fremden Domain (CDN) geladen, ohne integrity-Attribut — der Browser prüft nicht, ob die ausgelieferte Datei wirklich die erwartete ist.

Warum es zählt

Wird das CDN oder die eingebundene Datei kompromittiert, läuft Schadcode sofort mit vollen Rechten auf der eigenen Seite (Beispiel: Supply-Chain-Angriffe auf Polyfill- und Analytics-CDNs). Ein integrity-Hash macht aus „Vertrauen aufs CDN" eine technisch erzwungene Garantie.

So behebst du es

  1. Ergänze bei CDN-Skripten integrity="sha384-..." und crossorigin="anonymous"; der Hash lässt sich mit openssl oder srihash.org erzeugen.
  2. Nutze SRI nur bei versionierten/angehefteten URLs — bei „latest"-URLs, deren Inhalt sich ändert, bricht der Hash bei jedem Vendor-Update.
  3. Noch besser: Binde kritische Bibliotheken selbst aus dem eigenen Build/Origin aus, dann entfällt das Vertrauensproblem ganz.
  4. Priorisiere Skripte vor Stylesheets: Ein manipuliertes Skript ist Vollzugriff, ein manipuliertes Stylesheet „nur" Defacement/UI-Redressing.

Zum Nachlesen