Sicherheit
Was die Befunde des Security-Checks bedeuten und wie du sie behebst. Die Themen folgen den Kategorien des Reports.
HTTPS und Transport
Was HTTPS macht
HTTPS verschlüsselt die Verbindung zwischen Browser und Website. Niemand unterwegs kann mitlesen oder Inhalte verändern, und der Browser weiß, dass er wirklich mit deiner Seite spricht.
Was HSTS macht
HSTS sagt dem Browser, dass deine Website nur über HTTPS erreichbar ist. Er ruft sie danach nie mehr unverschlüsselt auf, auch wenn jemand „http://“ eintippt.
Wie du TLS sicher einstellst
Welche Protokolle und Cipher-Suites dein Server anbietet, entscheidet, wie gut eine HTTPS-Verbindung wirklich schützt. Eine aktuelle Einstellung ist kurz und passt zu allen heutigen Browsern.
Was ein gutes Zertifikat ausmacht
Ein TLS-Zertifikat muss mehr als gültig sein: rechtzeitig erneuert, mit ausreichend langem Schlüssel und vollständiger Kette, mit Nachweisen aus Certificate Transparency und abgesichert durch einen CAA-Eintrag.
Schutz vor Einschleusung
Was eine Content Security Policy macht
Eine Content Security Policy legt fest, aus welchen Quellen deine Seite Skripte und andere Inhalte laden darf. Sie ist der wirksamste Schutz gegen eingeschleuste Skripte.
Was X-Content-Type-Options macht
Der Header X-Content-Type-Options mit dem Wert „nosniff“ verbietet dem Browser, den Typ einer Datei zu raten. So wird aus einer harmlosen Textdatei kein ausführbares Skript.
Was der Schutz vor Clickjacking macht
Der Schutz vor Clickjacking verbietet fremden Websites, deine Seite in einem Rahmen einzubetten. So kann niemand Besucher zu Klicks verleiten, die sie gar nicht sehen.
Abschottung und Datenschutz
Was die Referrer-Policy macht
Die Referrer-Policy legt fest, wie viel von der Adresse deiner Seite andere Websites erfahren, wenn ein Besucher einen Link klickt oder Inhalte geladen werden. Sie verhindert, dass Suchbegriffe, Kennungen oder Tokens aus Adressen nach außen gehen.
Was die Permissions-Policy macht
Die Permissions-Policy legt fest, welche Browser-Funktionen wie Kamera, Mikrofon oder Standort deine Seite und eingebettete Inhalte nutzen dürfen. Was deine Seite nicht braucht, schaltest du damit ab.
Was die Cross-Origin-Header machen
Die Cross-Origin-Header trennen deine Seite von fremden Fenstern und Seiten. Sie schützen vor Angriffen, die über offene Fensterverbindungen oder geteilten Speicher im Browser Daten abgreifen.
Was CORS macht
CORS regelt, welche fremden Websites die Antworten deines Servers im Browser lesen dürfen. Falsch eingestellt, kann jede Website im Namen deiner Besucher Daten abrufen.
Cookies und Preisgabe
Was sichere Cookies ausmacht
Sichere Cookies tragen die Attribute Secure, HttpOnly und SameSite. Sie gehen dann nur über verschlüsselte Verbindungen, bleiben vor Skripten verborgen und werden nicht von fremden Seiten mitgeschickt.
Was dein Server über sich verrät
Viele Webserver und Anwendungen nennen in ihren Antwort-Headern Software und Versionsnummer. Das hilft niemandem außer Angreifern, die so gezielt nach bekannten Lücken suchen.
Was veraltete Security-Header sind
Veraltete Security-Header stammen aus einer Zeit, in der Browser sie noch auswerteten. Heute tun sie nichts mehr oder schaden sogar und gehören entfernt.
Was security.txt macht
Die security.txt ist eine kleine Textdatei an einer festen Adresse deiner Website. Sie sagt jedem, der eine Sicherheitslücke findet, wohin er sie melden kann.