Prüfpunkt software.cookie.flutSitzung, Cookies und Zahlungsdaten
Warum liefert Ihr CDN die Seiten nicht aus dem Speicher?
Ein Content Delivery Network (CDN) bewahrt eine Seite nur auf, wenn die Antwort Ihres Servers das erlaubt: ohne Set-Cookie, ohne private oder no-store und mit einer Frist. Bei Cloudflare kommt hinzu, dass HTML in der Grundeinstellung gar nicht gespeichert wird. Ob eine Seite aus dem Speicher kam, zeigt eine Kopfzeile der Antwort. Mit ihr lässt sich jede Ursache einzeln prüfen.
Eine Kopfzeile der Antwort zeigt, ob die Seite aus dem Speicher kam
Bei Cloudflare heißt sie CF-Cache-Status. HIT bedeutet: aus dem Speicher. MISS: speicherbar, lag aber noch nicht vor. BYPASS: Die Antwort Ihres Servers war am Ende nicht speicherbar. DYNAMIC: Cloudflare hat die Seite gar nicht erst als speicherbar angesehen. Andere Anbieter nennen die Kopfzeile anders. Für jeden Zwischenspeicher gilt die Kopfzeile Age aus der HTTP-Norm: Sie nennt, wie viel Zeit vergangen ist, seit Ihr Server die Antwort erzeugt oder bestätigt hat. Steht sie in der Antwort, kam die Seite nicht frisch von Ihrem Server. Ihre Agentur liest beides in den Entwicklerwerkzeugen des Browsers.
Ein Cookie oder private hält die Seite aus dem Speicher
nginx bewahrt eine Antwort mit Set-Cookie nicht auf, Cloudflare in der Grundeinstellung ebenso. Bei Cloudflare gilt dasselbe für Cache-Control mit private, no-store, no-cache oder max-age=0. Setzt Ihre Website auf jeder Seite ein Sitzungs-Cookie, bleibt das CDN damit für alle Seiten wirkungslos, auch für die, die für alle Besucher gleich sind. Abhilfe ist, die Sitzung erst bei Anmeldung, Warenkorb oder Formular zu beginnen. Dann schickt Ihr Server öffentliche Seiten ohne Set-Cookie, und das CDN darf sie aufbewahren.
Cloudflare nimmt HTML erst mit einer eigenen Regel in den Speicher
Cloudflare entscheidet in der Grundeinstellung nach der Dateiendung: CSS, JavaScript, Bilder, Schriften und PDF kommen in den Speicher, HTML und JSON nicht. Für Seiten braucht es eine eigene Cache-Regel. Wer sie anlegt, nimmt Konto, Warenkorb, Kasse und Anmeldung davon aus, denn diese Seiten gehören einem einzelnen Besucher. Ohne diese Ausnahme gibt das CDN die Seite eines Kunden an den nächsten weiter.
Jeder Kampagnen-Link wird ein eigener Eintrag
Cloudflare nimmt die Adresse samt Abfrageteil als Schlüssel für den Speicher; die Anleitung nennt selbst das Beispiel /logo.jpg?utm_source=newsletter. Eine Adresse mit anderem utm-Wert ist damit ein anderer Eintrag, und ihr erster Abruf geht an Ihren Server. Hat jeder Link eines Newsletters einen eigenen Wert für den Empfänger, kommt so jeder Klick vom Server. Die Einstellung Ignore Query String, in allen Tarifen verfügbar, lässt den Abfrageteil weg. Sie passt nur für Seiten, deren Inhalt nicht vom Abfrageteil abhängt, also nicht für Suche oder Filter.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Wie wird eine kleine Website angegriffen?Bekannte Lücken, Anmeldung, Fehlkonfiguration, fremde Skripte: die Wege in kleine Websites nach BSI, ENISA, Verizon und Patchstack. Woran Sie jeden erkennen.
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Welche Dateien dürfen auf dem Webserver nie abrufbar sein?Versionsverwaltung, Konfiguration mit Passwörtern und Sicherungskopien gehören nicht ins Webverzeichnis. Die Prüfung ruft fünf typische Adressen ab.
- Was darf eine Fehlerseite Ihren Besuchern zeigen?Eine Fehlerseite mit Dateipfaden und Programmzeilen zeigt Angreifern den Aufbau des Servers. Die Prüfung ruft eine Adresse ab, die es nicht gibt.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
