Warum zeigt Ihre Website ein eingebettetes Formular oder eine Karte nicht an?

Eine gesperrte Anfrage kommt nie bei Ihnen an

Ein Besucher, dessen Formular nicht abgeht, sieht keine Fehlermeldung. Er klickt noch einmal, dann ruft er an oder sucht den nächsten Anbieter. Bei einer Terminbuchung fehlt der Termin, im Shop die Bestellung. Ihr Server merkt davon nichts, weil der Browser die Anfrage nicht abschickt. In Ihrer Statistik sieht das aus wie ein ruhiger Monat.

form-action hält Eingaben auf Ihrer Website

Fehlt form-action, darf ein Formular an jede Adresse senden; default-src greift hier nicht. Gelangt fremdes HTML in Ihre Seite, kann es so Eingaben an einen fremden Server schicken. Deshalb nennt die Richtlinie nur die Adressen, die Ihre Formulare wirklich brauchen. Die Beispielrichtlinien der Sicherheitsorganisation OWASP enthalten form-action 'self'.

Für Besucher bleibt die Fläche leer

Sperrt die CSP einen Rahmen, zeigt der Browser an seiner Stelle eine leere Fläche oder einen Hinweis. Sperrt sie ein Formularziel, schickt der Browser das Formular nicht ab; der Besucher klickt, und nichts passiert. Eine Fehlermeldung erscheint nur in den Entwicklerwerkzeugen des Browsers. Das fällt oft erst auf, wenn Anfragen ausbleiben.

Gemessen werden Rahmen und Formulare jeder Seite

Die Prüfung liest den Quelltext jeder gemessenen Seite, wie der Server ihn ausliefert. Für jeden Rahmen (iframe mit src) und jedes Formular (form mit action) prüft sie, ob die Kopfzeile Content-Security-Policy derselben Antwort das Ziel erlaubt. Für Rahmen gilt frame-src, fehlt es, child-src, dann default-src. Für Formulare gilt nur form-action, ohne Rückfall auf default-src. Der Bericht nennt die Zahl der gesperrten Elemente, das erste davon mit seinem Quelltext und die Direktive, die es sperrt. Rahmen, die erst ein Skript in die Seite einfügt, sieht dieser Prüfpunkt nicht.

Die Adresse in die Richtlinie aufnehmen

Ihre Agentur nimmt die Herkunft des eingebetteten Dienstes in die passende Direktive auf: für eine Karte von Google etwa https://www.google.com in frame-src, für ein Formular, das an einen fremden Dienst sendet, dessen Adresse in form-action. Sie nennt dabei nur die Herkunft, die gebraucht wird, und weder einen Stern noch https: allein. Danach öffnet sie die Seite in einem privaten Browserfenster und prüft, ob der Rahmen erscheint und das Formular ankommt.

Tipps aus der Praxis

• Testen Sie ein Formular bis zur Bestätigungsseite, in Chrome und in Firefox. Die Entwickler-Dokumentation MDN nennt die Browser bei Weiterleitungen nach dem Absenden uneinheitlich: Ein Ziel, das weiterleitet, kann im einen ankommen und im anderen nicht.
• YouTube im datenschutzerweiterten Modus lädt von https://www.youtube-nocookie.com. Diese Adresse braucht einen eigenen Eintrag in frame-src.
• Lassen Sie sich Sperren melden: Mit report-to schickt der Browser jede Sperre an eine Adresse Ihrer Wahl. So erfahren Sie davon, bevor Anfragen ausbleiben.
• Stehen zwei Richtlinien in der Antwort, etwa vom Server und von einer Erweiterung, gelten beide. Die Adresse muss dann in beiden stehen.