Sicherheits-Header (HSTS & Co.)
Ein Klick auf „Empfohlene Einstellungen“ – und was die einzelnen Header bewirken.
Die Header
- HSTS
- Browser rufen Ihre Website nur noch per HTTPS auf, auch wenn jemand http:// tippt. Dauer bis 2 Jahre, optional für alle Subdomains und mit „Preload“.
- X-Content-Type-Options
- nosniff – der Browser rät keine Dateitypen (schützt vor untergeschobenen Skripten).
- X-Frame-Options
- Ihre Website darf nicht (oder nur von Ihnen selbst) in fremde Seiten eingebettet werden – gegen Clickjacking.
- Referrer-Policy
- Wie viel von der Adresse beim Klick auf Links mitgeht.
- Server-Kennung verbergen
- Entfernt
X-Powered-By– der Header verrät oft Software und Version (z. B.PHP/8.1.2).
Vorsicht bei HSTS
- Erst mit 5 Minuten oder einem Tag beginnen und prüfen, ob alles läuft.
- Dann auf 1 Jahr oder länger erhöhen.
- „Alle Subdomains“ nur, wenn wirklich jede Subdomain HTTPS kann – auch interne.
Einmal gesetzt, merken sich Browser HSTS für die eingestellte Dauer – auch wenn Sie es wieder ausschalten.
Andere Header
Eingeschaltete Header ersetzen gleichnamige Header Ihres Servers, alle anderen bleiben unverändert. Für alles Weitere – etwa eine Content-Security-Policy oder CORS – gibt es Header-Regeln.
War dieser Artikel hilfreich?
Nicht fündig geworden? Durchsuchen Sie die Übersicht, schauen Sie auf die Statusseite oder schreiben Sie uns – die Kontaktdaten stehen im Impressum.