Prüfpunkt co2.symbol.rasterBilder
Sind SVG-Dateien ein Sicherheitsrisiko?
Eine SVG-Datei ist Text, und dieser Text darf Skripte enthalten. Ob ein Skript läuft, hängt davon ab, wie die Datei auf die Seite kommt: Als Bild eingebunden, etwa per img, schalten Browser JavaScript darin ab. Öffnet jemand die Datei direkt, gilt diese Einschränkung nicht. Das Risiko liegt deshalb vor allem bei SVG-Dateien, die Fremde auf Ihren Server hochladen können.
Was eine SVG-Datei als Bild darf
Browser schränken SVG aus Sicherheitsgründen ein, wenn es als Bild läuft: per img, als CSS-Hintergrund, in list-style-image oder content, über die SVG-Elemente image und feImage oder beim Zeichnen in ein canvas. JavaScript ist dann abgeschaltet, und die Datei lädt keine weiteren Bilder oder Stylesheets nach; was sie zeigen soll, muss als data-URL in ihr stehen. Diese Einschränkungen gelten nur im Bildkontext. Wird dieselbe Datei direkt aufgerufen oder per iframe, object oder embed eingebunden, laufen Skripte darin wie auf einer Webseite.
Wo die Gefahr entsteht: Uploads von Fremden
Ein Formular, über das Besucher Dateien hochladen, oder ein Zugang für Redakteure kann eine präparierte SVG-Datei auf Ihren Server bringen. Liegt sie dort und ruft jemand ihre Adresse auf, läuft das Skript im Browser dieser Person, unter der Adresse Ihrer Website. WordPress führt SVG nicht in der Liste der Dateitypen, die sich in der Grundeinstellung hochladen lassen; die Liste nennt bei den Bildern JPEG, PNG, GIF, BMP, TIFF, ICO, HEIC, WebP und AVIF.
SVG-Uploads mit Bereinigung
Wer SVG in WordPress freischalten will, nimmt eine Erweiterung, die jede Datei beim Hochladen bereinigt. Safe SVG der Agentur 10up hat über eine Million aktive Installationen und bereinigt mit der Bibliothek svg-sanitizer, deren Ansatz von DOMPurify stammt. Die Bibliothek arbeitet mit einer Liste erlaubter Elemente und Attribute. Erlauben Sie den Upload außerdem nur den Konten, die ihn brauchen.
So gehen Sie es an
- Binden Sie Logos und Symbole per img oder als CSS-Hintergrund ein, wenn sie keine Farbe von der Seite übernehmen müssen.
- Setzen Sie SVG-Code nur dann direkt ins HTML, wenn er aus einer Quelle stammt, der Sie vertrauen.
- Öffnen Sie eine fremde SVG-Datei vor dem Einbau in einem Texteditor und suchen Sie nach script und nach Attributen, die mit on beginnen.
- Nehmen Sie in Formularen für Besucher nur die Dateitypen an, die Sie brauchen, etwa JPEG und PNG.
Mehr zu diesem Thema
Weiter im Prüfbereich CO₂ & EmpCo
- Was darf meine Website seit dem 27. September 2026 über die Umwelt sagen?Seit 27.09.2026 gelten in Deutschland und Österreich die EmpCo-Regeln im UWG: was unzulässig ist, was erlaubt bleibt, warum Übergangsregeln nur Waren betreffen.
- Spart eine schlanke Website Geld, und was sagt der CO₂-Wert wirklich?Was eine schwere Website kostet: beim Hoster Cent, beim Kunden Wartezeit. Was der CO₂-Wert je Aufruf bedeutet, wo das Modell endet, wie KI-Anfragen dazu stehen.
- Wie kommt Ihr Hoster zum Ökostrom-Nachweis bei der Green Web Foundation?Führt die Green Web Foundation Ihren Hoster als „nicht grün“, verliert der CO₂-Punktwert 8 Punkte. So kommt der Nachweis zustande, und so gelingt der Wechsel.
- Was bedeutet der offene Ökostrom-Status Ihres Hostings?Ist der Ökostrom-Status Ihres Hosters offen oder die Abfrage gescheitert, nennt die Prüfakte das als Hinweis. So kommt Ihr Hoster zum Eintrag.
Dieser Prüfpunkt gehört zum Prüfbereich CO₂ & EmpCo; dort stehen alle Prüfpunkte im Überblick. Was die Prüfung insgesamt leistet, zeigt die Leistungsseite; wie ein Ergebnis zustande kommt, erklärt das Prüfverfahren. Alle Prüfbereiche im Überblick: Wissensbasis.
