Wie die Note entsteht
Jeder Header bekommt Punkte nach seiner Bedeutung. Ist ein Header vorhanden, aber schwach eingestellt, gibt es die Hälfte.
| Header | Punkte | Schützt vor |
|---|---|---|
Strict-Transport-Security | 25 | Umleitung auf unverschlüsselte Verbindungen |
Content-Security-Policy | 25 | Eingeschleustem Schadcode (Cross-Site-Scripting) |
X-Frame-Options | 15 | Unsichtbarem Einbetten (Clickjacking) |
X-Content-Type-Options | 15 | Falsch interpretierten Dateien |
Referrer-Policy | 10 | Weitergabe sensibler Adressen |
Permissions-Policy | 10 | Ungewolltem Zugriff auf Kamera, Mikrofon, Standort |
Ab 90 Punkten gibt es ein A, ab 75 ein B, ab 55 ein C, ab 35 ein D, ab 15 ein E, darunter ein F.
Eine schlechte Note heißt nicht, dass du gehackt wurdest
Die Header sind eine zusätzliche Schutzschicht. Fehlen sie, ist die Website nicht automatisch unsicher, aber Angriffe haben es leichter. Viele große Websites haben ebenfalls keine perfekte Note. Für kleine Firmen-Websites sind HSTS, X-Content-Type-Options und X-Frame-Options mit wenigen Zeilen Konfiguration erledigt.
Was jeder Header genau macht und wie du ihn bei Apache, Nginx oder WordPress einrichtest: Security-Header einfach erklärt.