Prüfpunkt software.cookie.flutSitzung, Cookies und Zahlungsdaten
Wann sollte Ihre Website eine Sitzung anlegen?
Eine Sitzung merkt sich auf dem Server, wer ein Besucher ist, etwa für Anmeldung oder Warenkorb. Erkennbar ist sie an einem Cookie mit einer Kennung. Viele Websites legen diese Sitzung schon beim ersten Abruf jeder Seite an, auch für Besucher, die nur lesen, und für Suchmaschinen. Die Prüfung ruft Ihre Startseite dreimal ohne Cookie ab und meldet, wenn jede Antwort ein neues Sitzungs-Cookie setzt.
In der Grundeinstellung liegt eine PHP-Sitzung 24 Minuten
PHP behandelt Sitzungsdaten in der Grundeinstellung erst nach 1440 Sekunden, also 24 Minuten, als Abfall, und das Aufräumen startet bei rund 1 Prozent der Anfragen. Ruft ein Programm Ihre Website einmal je Sekunde ohne Cookie ab, liegen so rund 1.440 Sitzungen gleichzeitig auf dem Server. Hoster können diese Werte ändern. Eine kürzere Frist hilft dabei wenig, denn sie beendet auch die Anmeldung von Besuchern, die kurz pausieren.
Ohne Cookie darf der Zwischenspeicher die Seite ausliefern
Fällt das Sitzungs-Cookie auf öffentlichen Seiten weg, kann ein Zwischenspeicher sie aufbewahren und selbst ausliefern. Ihr Server muss die Seite dann nicht für jeden Abruf neu erzeugen. nginx bewahrt Antworten mit Set-Cookie in der Grundeinstellung nicht auf, Cloudflare ebenso; mit dem Cookie bleibt der Zwischenspeicher also für jede Seite wirkungslos, die es setzt. Kommt die Seite aus dem Speicher, sinkt die Zeit bis zur ersten Antwort. Google nennt auf web.dev als groben Richtwert 0,8 Sekunden oder weniger. Wie Sie nachsehen, ob eine Seite aus dem Speicher kam, steht auf der Seite „Warum liefert Ihr CDN die Seiten nicht aus dem Speicher?“.
Sammelprogramme für KI rufen auch selten besuchte Seiten ab
Die Wikimedia Foundation berichtete im April 2025 von stark steigenden Anfragen, vor allem durch Programme, die Trainingsdaten für Sprachmodelle und andere Zwecke sammeln. Sie lesen viele Seiten am Stück, auch wenig besuchte, die kaum in einem Zwischenspeicher liegen. Deshalb kamen mindestens 65 Prozent der aufwendigsten Anfragen von Programmen, obwohl diese nur rund 35 Prozent der Seitenabrufe ausmachten. Schickt so ein Programm kein Cookie zurück, legt eine Website mit diesem Befund je Seite eine neue Sitzung an.
Jeder Abruf ohne Cookie wird zur neuen Sitzung
Suchmaschinen, Vorschau-Dienste und automatisierte Programme schicken keine Cookies zurück. Legt Ihre Website für jeden Abruf ohne Cookie eine Sitzung an, entsteht für jeden dieser Abrufe ein Eintrag auf dem Server. Bei vielen Abrufen wächst der Speicher der Sitzungen schnell, und das Aufräumen kostet Rechenzeit. Dazu kommt: eine Antwort, die ein Cookie setzt, bewahren etwa nginx und Cloudflare nicht auf. Jede Seite wird dann für jeden Besucher neu erzeugt, auch wenn sie für alle gleich ist. Die Website wird langsamer, und der Server bekommt mehr Last.
Gemessen werden drei Abrufe der Startseite
Die Prüfung ruft Ihre Startseite dreimal hintereinander ab, ohne ein Cookie mitzuschicken, so wie es ein neuer Besucher oder eine Suchmaschine tut. Setzt jede der drei Antworten ein Cookie, dessen Name nach einer Sitzung aussieht, etwa PHPSESSID, JSESSIONID oder ein Name mit sess, sid oder token, und hat es jedes Mal einen anderen Wert, nennt der Bericht den Namen des Cookies. Ob der Server eine Sitzung wiedererkennt, die ein Besucher zurückschickt, misst ein eigener Prüfpunkt.
Die Sitzung beginnt, wenn sie gebraucht wird
Eine Sitzung braucht es, sobald sich ein Besucher etwas merken lassen will: bei der Anmeldung, beim ersten Artikel im Warenkorb, beim Absenden eines Formulars mit mehreren Schritten. Vorher reicht die Seite ohne Sitzung. In PHP heißt das, session_start nur an diesen Stellen aufzurufen; in vielen Frameworks lässt sich die Sitzung so einstellen, dass sie erst beim ersten Schreiben entsteht. Bei Content-Management-Systemen starten oft Erweiterungen die Sitzung auf jeder Seite; Ihre Agentur findet heraus, welche es ist, und stellt sie um oder ersetzt sie.
Beispiele
PHP: Sitzung erst beim Warenkorb
<?php
session_start(); // auf jeder Seite, auch für Leser
<?php
// nur dort, wo etwas gemerkt wird
if ($_SERVER['REQUEST_METHOD'] === 'POST' && isset($_POST['in_den_warenkorb'])) {
session_start();
$_SESSION['warenkorb'][] = $_POST['artikel'];
}
Besucher, die nur lesen, bekommen kein Sitzungs-Cookie. Wer etwas in den Warenkorb legt, bekommt eine Sitzung und behält sie, solange er das Cookie zurückschickt.
So gehen Sie es an
- Lassen Sie Ihre Agentur den Cookie-Namen aus dem Bericht zuordnen: welches System oder welche Erweiterung setzt ihn auf jeder Seite?
- Sie stellt die Sitzung so ein, dass sie erst bei Anmeldung, Warenkorb oder Formular entsteht.
- Seiten, die für alle gleich sind, schickt der Server danach ohne Set-Cookie und kann sie öffentlich speicherbar machen.
- Prüfen Sie danach Anmeldung, Warenkorb und Formulare einmal von Hand.
- Lassen Sie die Website neu messen. Der Bericht zeigt, ob die Startseite noch für jeden Abruf eine Sitzung anlegt.
Tipps aus der Praxis
- In WordPress ab Version 5.5 zeigt das Werkzeug Site Health die Meldung „An active PHP session was detected“, wenn eine mit session_start begonnene Sitzung offen ist. Schalten Sie auf einer Testkopie Erweiterungen einzeln ab, bis die Meldung verschwindet.
- Steht session.auto_start in der PHP-Konfiguration auf 1, startet jede Anfrage eine Sitzung. Vorgesehen ist 0; Ihr Hoster kann das nachsehen.
- Cloudflare speichert HTML in der Grundeinstellung nicht. Fällt das Cookie weg, braucht die Seite dort zusätzlich eine eigene Regel, damit sie aus dem Speicher kommt.
- Lassen Sie nach der Umstellung nachsehen, ob die Startseite jetzt aus dem Speicher kommt. Bei Cloudflare steht dann in der Kopfzeile CF-Cache-Status der Wert HIT.
Mehr zu diesem Thema
Weiter in der Cybersicherheit
- Wie wird eine kleine Website angegriffen?Bekannte Lücken, Anmeldung, Fehlkonfiguration, fremde Skripte: die Wege in kleine Websites nach BSI, ENISA, Verizon und Patchstack. Woran Sie jeden erkennen.
- Was kann ein Angriff auf meiner Website anrichten?Kartendaten aus dem Bestellformular, Besucher auf Betrugsseiten, 20 Millionen Pfund Bußgeld: echte Fälle mit Quelle und dem Merkmal, das den Weg zeigt.
- Welche Dateien dürfen auf dem Webserver nie abrufbar sein?Versionsverwaltung, Konfiguration mit Passwörtern und Sicherungskopien gehören nicht ins Webverzeichnis. Die Prüfung ruft fünf typische Adressen ab.
- Was darf eine Fehlerseite Ihren Besuchern zeigen?Eine Fehlerseite mit Dateipfaden und Programmzeilen zeigt Angreifern den Aufbau des Servers. Die Prüfung ruft eine Adresse ab, die es nicht gibt.
Dieser Prüfpunkt gehört zur Cybersicherheit, Unterthema Sitzung, Cookies und Zahlungsdaten. Gemessen wird er im Prüfbereich Aktualität. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren.
