Warum brauchen auch Fehlerseite und Skripte die Sicherheitskopfzeilen?

Jede Antwort des Servers ist für sich geschützt oder nicht

Der Browser liest die Sicherheitskopfzeilen bei jeder Antwort neu. Eine Fehlerseite ohne Content-Security-Policy und ohne X-Frame-Options lässt sich in eine fremde Seite einbetten, und gibt sie die angefragte Adresse wieder, kann darüber eingeschleuster Code laufen. Ein Skript ohne X-Content-Type-Options: nosniff darf der Browser nach seinem Inhalt einordnen, statt der Angabe des Servers zu folgen; mit nosniff führt er nur aus, was der Server als JavaScript ausliefert. Der Schutz der Startseite reicht deshalb genau so weit wie die Antworten, die dieselben Kopfzeilen enthalten.

Gemessen werden Fehlerseite und eigene Skripte

Die Prüfung ruft einmal je Lauf eine Adresse Ihrer Website auf, die es nicht gibt, und vergleicht die Kopfzeilen dieser Fehlerseite mit denen der Startseite: Strict-Transport-Security, Content-Security-Policy, X-Frame-Options und X-Content-Type-Options. Setzt die Startseite mindestens zwei davon und fehlt eine davon auf der Fehlerseite, nennt der Bericht die Adresse, den Status und die fehlenden Kopfzeilen. Außerdem ruft sie auf jeder gemessenen Seite bis zu fünf Skripte von Ihrem eigenen Server ab. Setzt die Seite X-Content-Type-Options: nosniff und ein Skript nicht, steht es mit seiner Adresse im Bericht.

Die Ursache liegt meist in der Vorlage oder in nginx

Häufig setzt das Content-Management-System die Kopfzeilen beim Erzeugen der Seite. Fehlerseiten des Webservers und Dateien wie Skripte, Stylesheets und Bilder liefert der Webserver aber direkt aus, ohne das System zu fragen. Bei nginx gibt es zwei weitere Stellen: add_header wirkt ohne den Zusatz always nur bei erfolgreichen Antworten und Weiterleitungen, also nicht auf der Fehlerseite. Und steht in einem inneren Block, etwa für Bilder oder Skripte, eine eigene add_header-Zeile, gelten die Kopfzeilen des äußeren Blocks dort nicht mehr. Bei Apache wirkt Header set ohne always ebenfalls nur bei erfolgreichen Antworten.

Am Server für alle Antworten setzen

Die Kopfzeilen gehören in die Konfiguration des Webservers oder des vorgeschalteten Proxys, mit always, sodass jede Antwort sie enthält: Seiten, Fehlerseiten, Weiterleitungen und Dateien. Bei gemietetem Webspace erledigt das Ihr Hoster, bei eigenem Server Ihre Agentur. Nach der Änderung zeigt eine neue Messung, ob Fehlerseite und Skripte dieselben Kopfzeilen enthalten wie die Startseite.

Tipps aus der Praxis

• Ab nginx 1.29.3 erbt ein innerer Block die äußeren Kopfzeilen mit add_header_inherit merge. Die Zeilen stehen dann nur noch einmal in der Konfiguration.
• Setzt PHP unter Apache über FastCGI schon eine Kopfzeile, kommt sie mit Header set unter Umständen doppelt an.
• Steht ein Auslieferungsnetz (CDN) oder Proxy davor, vergleichen Sie die Kopfzeilen über die öffentliche Adresse. Nur dort sehen Sie, was beim Besucher ankommt.