Sitzung, Cookies und Zahlungsdaten
Cookies mit Secure und HttpOnly, die Sitzungskennung im Cookie statt in der Adresse, Zwischenspeicher mit kurzer Frist und ohne private Seiten, Kartendaten beim Zahlungsanbieter.
8 Prüfpunkte
Cookies sind ungeschützt
Ohne Schutzmerkmale kann ein Cookie unverschlüsselt mitgelesen oder von eingeschleusten Skripten ausgelesen werden, samt Anmeldung.
Was zu tun ist: Ihre Agentur versieht jedes Cookie mit den Schutzmerkmalen: nur verschlüsselt, für Skripte unlesbar, nur für die eigene Seite.
Jeder Besuch legt eine eigene Sitzung an
Ihre Website legt schon beim ersten Abruf eine Sitzung an, auch für Leser und Suchmaschinen. Das belegt Speicher auf dem Server, und Zwischenspeicher halten die Seite nicht für alle bereit; sie lädt langsamer.
Was zu tun ist: Ihre Agentur lässt die Sitzung erst entstehen, wenn sie gebraucht wird: bei Anmeldung, Warenkorb oder Formular.
Ein Cookie ist zu groß
Ab 4 KB wirft der Browser das Cookie weg oder der Server lehnt die Anfrage ab. Anmeldung und Warenkorb gehen dann verloren.
Was zu tun ist: Ihre Agentur speichert im Cookie nur eine Kennung und hält die Daten auf dem Server.
Der Server führt die Sitzung des Besuchers nicht weiter
Der Besucher schickt seine Sitzung mit, der Server vergibt trotzdem eine neue Kennung. Findet er die alte nicht wieder, verliert der Besucher Anmeldung und Warenkorb.
Was zu tun ist: Ihre Agentur prüft, ob die Sitzung verloren geht oder absichtlich erneuert wird, und führt sie bis zur An- oder Abmeldung weiter.
Geheimnisse stehen in der Adresszeile
Ein Schlüssel in der Adresse landet in Protokollen, im Verlauf des Browsers und bei jeder verlinkten Seite. Wer ihn sieht, kann ihn verwenden.
Was zu tun ist: Ihre Agentur übergibt Schlüssel im geschützten Teil der Anfrage; Links zum Zurücksetzen gelten einmal und nur kurz.
Persönliche Antworten gelten als öffentlich speicherbar
Eine Antwort mit Anmelde-Cookie ist für einen Besucher bestimmt. Als öffentlich markiert, kann ein Zwischenspeicher sie dem nächsten Besucher zeigen.
Was zu tun ist: Ihre Agentur markiert Antworten mit Cookies als privat; öffentlich bleiben nur Seiten ohne Personenbezug.
Besucher sehen Änderungen erst nach Tagen
Der Browser darf die Seite tagelang aus seinem Speicher zeigen, ohne nachzufragen. Wer sie einmal geöffnet hat, bekommt neue Preise, Termine oder Korrekturen so lange nicht zu sehen.
Was zu tun ist: Ihr Hoster oder Ihre Agentur stellt die Speicherdauer für Seiten auf höchstens einen Tag oder auf Nachfragen; Bilder dürfen weiter lange gespeichert bleiben.
Das eigene Formular fragt Kartennummern ab
Kartennummern gehören in das Formular des Zahlungsdienstleisters. Auf der eigenen Seite tragen Sie die volle Verantwortung für jede gestohlene Karte.
Was zu tun ist: Ihre Agentur ersetzt die Kartenfelder durch das eingebettete Formular oder die Weiterleitung des Zahlungsdienstleisters.
