Was passiert mit einem Schlüssel, der in der Adresse eines Links steht?

Was im öffentlichen Quelltext steht, bekommt jeder Besucher

Ein Schlüssel im Quelltext einer öffentlichen Seite geht an jeden, der sie aufruft: an Kunden, an Suchmaschinen und an Programme, die das Netz nach Zugängen absuchen. Ein Weg, den Sie nachverfolgen könnten, bleibt dabei kaum. Wurde ein solcher Schlüssel genutzt, um an Kundendaten zu kommen, verlangt Artikel 33 der DSGVO bei einem Risiko für die Betroffenen die Meldung an die Aufsichtsbehörde, möglichst binnen 72 Stunden.

Ohne Schlüssel in der Adresse werden Protokolle harmlos

Sind die alten Schlüssel gesperrt und steht in der Adresse keiner mehr, sehen Hoster, Agentur und Statistikdienst nur noch Seitenaufrufe, mit denen sich nichts öffnen lässt. Alte Protokolle müssen Sie dann nicht mehr wie Passwortlisten behandeln. Ein kopierter Link öffnet nur noch die Seite, und Ihre Kunden können ihn gefahrlos weitergeben.

Auf der Passwort-Seite reicht ein Link im Seitenfuß

MDN beschreibt den typischen Fall: Eine Seite zum Zurücksetzen des Passworts hat im Seitenfuß einen Link zu einem sozialen Netzwerk. Folgt der Besucher ihm, kann das Netzwerk je nach Einstellung die Adresse samt Schlüssel erhalten. MDN rät deshalb, fremde Inhalte von Passwort-, Anmelde- und Zahlungsseiten zu entfernen. OWASP verlangt für die Passwort-Seite die Referrer-Policy no-referrer.

Adressen werden gespeichert und weitergegeben

Eine Adresse steht im Verlauf des Browsers und in den Protokollen des Webservers, des Hosters und jedes Zwischenspeichers dazwischen. Besucher kopieren Links in Mails und Chats. Folgt ein Besucher einem Link auf eine andere Seite derselben Website, schickt der Browser die volle Adresse als Herkunft mit; fremde Websites bekommen sie je nach Referrer-Policy. Ein Schlüssel gilt, bis er abläuft oder gesperrt wird, und wer ihn auf einem dieser Wege findet, kann ihn verwenden.

Gemessen werden Links, Formulare und Dateien im Quelltext

Die Prüfung liest den Quelltext jeder gemessenen Seite und sucht in den Attributen href, action und src nach Parametern mit den Namen token, access_token, api_key, apikey, secret, reset, auth, sessionid, sid und jwt. Ein Fund zählt erst, wenn der Wert mindestens 16 Zeichen lang ist, wie ein echter Schlüssel. Der Bericht nennt bis zu fünf Adressen und zeigt vom Wert nur die ersten sechs Zeichen. Adressen, die erst nach einer Anmeldung erscheinen, sieht die Prüfung nicht.

Sitzung im Cookie, Schlüssel auf dem Server

Ihre Agentur überträgt die Sitzung im Cookie mit Secure und HttpOnly statt in der Adresse. Schlüssel für Schnittstellen bleiben auf dem Server: der Browser fragt Ihren Server, und der Server fragt den Dienst mit dem Schlüssel. Wo ein Link einen Schlüssel braucht, etwa zum Zurücksetzen eines Passworts, gilt er einmal und nur kurz und wird nach Gebrauch entwertet. Die Referrer-Policy strict-origin-when-cross-origin sorgt dafür, dass fremde Websites höchstens den Domainnamen sehen.

Tipps aus der Praxis

• Schauen Sie in Ihrer Webstatistik die Liste der aufgerufenen Seiten durch. Steht dort ?token= oder ?sid=, liegt der Schlüssel auch beim Anbieter der Statistik.
• Prüfen Sie Links in Newslettern und automatischen Mails. Öffnet ein persönlicher Link das Konto ohne Anmeldung, ist jeder angemeldet, an den die Mail weitergeleitet wird.
• Formulare mit vertraulichen Eingaben schicken ihre Daten per POST. Bei GET wandert alles, was der Besucher eingibt, in die Adresse.