Sicherheits-Antwortheader jenseits der Content Security Policy

Worum es geht

Die Content Security Policy bekommt die meiste Aufmerksamkeit, doch das OWASP-Cheat-Sheet zu HTTP-Headern führt eine Reihe weiterer Antwortheader, die dem Browser ein vorsichtigeres Verhalten vorschreiben:

• X-Content-Type-Options: nosniff verbietet dem Browser, den Inhaltstyp zu erraten; Voraussetzung ist ein korrekter Content-Type auf allen Antworten.
• Referrer-Policy steuert, wie viel der aufrufenden Adresse im Referer-Header an andere Sites gelangt. OWASP empfiehlt strict-origin-when-cross-origin; die MDN-Dokumentation nennt diesen Wert als Vorgabe, wenn keine oder eine ungültige Richtlinie angegeben ist – ihn explizit zu setzen macht das Verhalten von der Browserversion unabhängig.
• Permissions-Policy (früher Feature-Policy) schaltet Browserfunktionen wie Kamera, Mikrofon oder Standort für die Seite und ihre Frames ab.
• Cross-Origin-Opener-Policy: same-origin trennt den Browsing-Kontext von Seiten anderer Herkunft; Cross-Origin-Resource-Policy begrenzt, wer die Antwort einbetten darf.
• Strict-Transport-Security (RFC 6797) weist den Browser an, die Site für max-age Sekunden nur über HTTPS aufzurufen; includeSubDomains dehnt das auf alle Subdomains aus.
• Gegen Clickjacking hält das Cheat-Sheet fest, dass die CSP-Direktive frame-ancestors den Header X-Frame-Options in unterstützenden Browsern ablöst; X-Frame-Options: DENY nennt es weiterhin als Rückfall für ältere Browser. Für X-XSS-Protection empfiehlt es den Wert 0, weil der alte Browserfilter selbst Lücken in sonst sicheren Seiten erzeugen kann.

Warum es wichtig ist

Jeder dieser Header schliesst eine Angriffs- oder Leckklasse mit einer Zeile Konfiguration: MIME-Sniffing macht aus einer hochgeladenen Datei ein ausführbares Skript, ein freizügiger Referer trägt Kennungen aus Adressen zu Dritten, ohne HSTS folgt der Browser auch später jedem http://-Link im Klartext, bis der Server umleitet. Externe Scanner melden fehlende Header als Erstes; an ihnen ist sichtbar, ob sich jemand gekümmert hat.

So wird es angewendet

• Einmal zentral setzen – im Reverse Proxy oder einer Middleware – und zwar für alle Antworten, auch Fehlerseiten, Weiterleitungen und API-Antworten.
• Permissions-Policy als explizite Liste ungenutzter Funktionen mit leerer Freigabe schreiben (camera=(), microphone=(), geolocation=()).
• HSTS erst aktivieren, wenn jede Subdomain HTTPS bedient; mit kurzem max-age beginnen und ohne includeSubDomains, bis das Inventar vollständig ist.
• Wer eingebettet werden will, erlaubt genau diese Herkünfte in frame-ancestors, statt X-Frame-Options: DENY zu setzen.
• Nach jedem Deployment mit curl -I und einem externen Scanner prüfen; ein automatischer Test, der die Header auf einer HTML-, einer API- und einer 404-Antwort erwartet, verhindert stilles Verschwinden nach einem Proxy-Umbau.

Stolpersteine

HSTS lässt sich nicht kurzfristig zurücknehmen: Browser merken sich den Wert, bis max-age abläuft; eine Subdomain ohne Zertifikat ist dann unerreichbar. Cross-Origin-Opener-Policy: same-origin bricht Abläufe, die über window.opener mit einem Popup sprechen (Zahlungs- und Login-Fenster). Header, die nur im Anwendungscode gesetzt werden, fehlen auf den Fehlerseiten des Proxys. Diese Header ersetzen keine CSP, und beides ersetzt keine Eingabeprüfung.