Warum muss der Server den Dateityp von Skripten richtig angeben?

Skriptmodule laufen bei falscher Angabe gar nicht

Bei Skriptmodulen, die moderne Anwendungen oft verwenden, gibt es keine Nachsicht: Fehlt der JavaScript-Typ, meldet der Browser einen Fehler und startet das Skript nicht. In der Konsole des Browsers steht dann etwa „The server responded with a non-JavaScript MIME type“. Das kann nach einem Serverumzug auftreten, wenn die neue Umgebung Endungen anders zuordnet.

Wo das Skript fehlt, reagiert der Knopf nicht

Ein blockiertes Skript zeigt dem Besucher keine Meldung. Er sieht einen Warenkorb-Knopf ohne Wirkung, eine leere Zahlungsauswahl oder ein Formular, das nicht abschickt. Wer kaufen wollte, versucht es woanders. Die Seite selbst antwortet dabei normal, deshalb schlägt eine einfache Überwachung der Erreichbarkeit nicht an.

Hochgeladene Dateien verdienen besondere Vorsicht

Bietet Ihre Website Uploads an, etwa für Bewerbungen oder Profilbilder, nennt der Absender den Typ seiner Datei selbst. OWASP warnt, dass sich diese Angabe leicht fälschen lässt. Rät der Browser dann, könnte die Datei unter Ihrer Domain als Skript laufen. OWASP empfiehlt, Uploads auf einem anderen Server abzulegen oder wenigstens außerhalb des Webverzeichnisses. Die Kopfzeile nosniff ergänzt das: Sie sperrt Skripte und Stylesheets, deren Typ nicht passt.

Raten ist ein Einfallstor, Blockieren kostet Funktionen

Kommt ein Skript als text/plain oder text/html, behandeln Browser das unterschiedlich: manche führen es trotzdem aus, mit X-Content-Type-Options: nosniff blockieren sie es. Im einen Fall fehlt der Seite eine Funktion, ohne dass jemand den Grund sieht. Im anderen Fall richtet sich der Browser nach dem Inhalt statt nach dem Server; dann ließe sich eine Datei, die als Text oder Bild hochgeladen wurde, als Skript ausführen. Stylesheets mit falscher Angabe wendet der Browser oft gar nicht an, die Seite sieht dann ungestaltet aus.

Gemessen werden Skripte, Stylesheets und Bilder vom eigenen Server

Die Prüfung nimmt auf jeder gemessenen Seite bis zu fünf Skripte, drei Stylesheets und drei Bilder, die von Ihrem eigenen Server kommen, und ruft sie ab. Ein Skript muss als JavaScript gemeldet werden, ein Stylesheet als text/css, ein Bild als image/… Antwortet die Datei mit Status 200 und einer anderen Angabe, nennt der Bericht die Zahl der Dateien und ein Beispiel mit der gemeldeten Angabe. Dateien von fremden Servern und Antworten ohne Typangabe zählen hier nicht.

Die Typen gehören in die Konfiguration des Webservers

Webserver ordnen Dateiendungen über eine Liste Typen zu. Fehlt eine Endung darin oder überschreibt eine Regel sie, kommt die falsche Angabe heraus, oft bei .js-Dateien, die eine Anwendung über ein Skript ausliefert statt direkt vom Webserver. Ihr Hoster oder Ihre Agentur ergänzt die Zuordnung: text/javascript für .js und .mjs, text/css für .css, die passenden image/-Typen für Bilder. Dazu gehört X-Content-Type-Options: nosniff, damit der Browser nie rät.

Tipps aus der Praxis

• Meldet der Bericht bei einem Skript text/html, kann die Datei fehlen und der Server eine Ersatzseite schicken. Öffnen Sie die Adresse im Browser: Sehen Sie eine Seite statt Code, fehlt die Datei.
• Halten Sie die Reihenfolge ein: erst die Typen korrigieren, dann nosniff einschalten. Mit nosniff sperrt der Browser jede unpassende Datei sofort.
• Nehmen Sie den Blick auf die Typangabe in die Abnahme jedes Serverumzugs auf: je eine Skript-, Stylesheet- und Bilddatei aufrufen und die Kopfzeile ansehen.