HTTP-Sicherheitsheader sind Einstellungen, die vom Server zusammen mit der Antwort der Seite gesendet werden und dem Browser vorgeben, wie Ihre Website sicher verarbeitet werden soll.
In einem Onlineshop (z. B. PrestaShop) helfen sie dabei, reale Risiken zu begrenzen, wie Clickjacking, unerwünschtes Laden von Ressourcen, Datenlecks im Referer-Header oder die fehlerhafte Interpretation von Dateitypen.
Die wichtigsten Header, die Sie kennen sollten
X-Frame-Options sowie die Direktive frame-ancestors in der Content-Security-Policy (CSP) schützen davor, dass die Shop-Seite in einem iframe-Frame auf fremden Websites eingebettet wird, was ein verbreiteter Mechanismus des Clickjackings ist.
Content-Security-Policy (CSP) ermöglicht es festzulegen, aus welchen Quellen Skripte, Styles, Bilder und Netzwerkverbindungen geladen werden dürfen, wodurch die Auswirkungen vieler Angriffstypen auf Browserseite reduziert werden.
Strict-Transport-Security (HSTS) erzwingt die Nutzung von HTTPS für die jeweilige Domain (der Header funktioniert nur bei HTTPS-Antworten), was das „Herunterstufen“ des Datenverkehrs auf die unverschlüsselte Version der Seite erschwert.
X-Content-Type-Options: nosniff begrenzt das MIME-Sniffing, also das „Erraten“ von Dateitypen durch den Browser, was in einigen XSS-Szenarien ausgenutzt werden kann.
Referrer-Policy steuert, wie viele Informationen über die Seitenadresse im Referer-Header weitergegeben werden, was hilft, die versehentliche Offenlegung von URL-Parametern zu begrenzen.
Permissions-Policy ermöglicht es, nicht benötigte Browserfunktionen (z. B. Geolokalisierung, Mikrofon, Kamera) zu deaktivieren und so die Angriffsfläche in einem typischen Shop zu verringern.
Fortgeschrittene Header wie Cross-Origin-Opener-Policy (COOP), Cross-Origin-Resource-Policy (CORP) sowie Cross-Origin-Embedder-Policy (COEP) betreffen die Cross-Origin-Isolierung und die Kontrolle des Ladens von Ressourcen zwischen Domains, erfordern jedoch eine vorsichtige Implementierung, da sie sich auf externe Integrationen auswirken können.
Zusätzlich begegnen Ihnen „Legacy“-Header wie X-DNS-Prefetch-Control, X-Permitted-Cross-Domain-Policies, X-Download-Options oder X-XSS-Protection, die je nach Browser heute nur noch eine begrenzte Bedeutung haben, aber weiterhin als Element der Konfigurationshärtung verwendet werden.
Wie Sicherheitsheader in PrestaShop ohne Risiko für Integrationen implementiert werden
Entscheidend ist, Änderungen schrittweise einzuführen: Ein Teil der Header ist praktisch „von Natur aus sicher“, aber CSP und COEP können Zahlungen, Analysen oder Widgets blockieren, wenn sie zu restriktiv eingestellt werden.
Genau deshalb haben wir das Modul Sicherheitsheader Pro vorbereitet, mit dem Sie jeden Header einzeln aktivieren und konfigurieren sowie den Geltungsbereich für Front Office und Back Office festlegen können.
Das Modul unterstützt Multistore, sodass Sie unterschiedliche Einstellungen für verschiedene Shops und Domains haben können, was in der Praxis in PrestaShop häufig erforderlich ist.
Wenn Sie das Sicherheitsniveau Ihres Shops kontrolliert und planbar erhöhen möchten, sind HTTP-Header einer der praktischsten Schritte, die sich zu implementieren und regelmäßig zu testen lohnen.
Kommentare (0)