Website-Sicherheit erklärt: HSTS, CSP, TLS, DNSSEC und mehr

Ein paar Header und DNS-Einträge entscheiden mit darüber, wie gut Deine Website geschützt ist. Hier steht, was sie tun, wie sie aussehen und wo es in der Praxis hakt.

• HSTSMit HSTS legt Deine Website fest, dass Browser sie nur noch über HTTPS aufrufen. Der Header ist schnell gesetzt. Wer ihn vorschnell auf alle Subdomains ausdehnt, sperrt allerdings womöglich das eigene Testsystem aus.
• CSPEine Content-Security-Policy sagt dem Browser, woher Deine Seite Skripte, Bilder und andere Inhalte laden darf. Ein eingeschleustes Skript läuft dann ins Leere.
• Sicherheits-HeaderNeben HSTS und CSP gibt es eine Handvoll kleiner Header, die mit je einer Zeile Konfiguration eine bestimmte Schwachstelle schließen. Andere stehen noch in vielen Vorlagen, obwohl sie längst nichts mehr bewirken.
• TLS und ZertifikatDas Schloss im Browser verrät wenig darüber, wie gut eine Verbindung geschützt ist. Dahinter stecken ein Zertifikat, das den Server ausweist, und das TLS-Protokoll, das die Daten verschlüsselt. Bei beidem kann etwas falsch eingerichtet sein, ohne dass es auffällt.
• CAAJede öffentliche Zertifizierungsstelle kann ein Zertifikat für Deine Domain ausstellen, sobald die Domainprüfung gelingt. Ein CAA-Eintrag im DNS beschränkt das auf die Stellen, mit denen Du tatsächlich arbeitest.
• DNSSECDNSSEC signiert die DNS-Antworten Deiner Domain, damit niemand Deine Besucher unbemerkt auf einen fremden Server lenkt. Einschalten lässt es sich schnell. Danach muss der DS-Eintrag beim Registrar dauerhaft zum Schlüssel der Zone passen.
• security.txtFindet jemand eine Lücke auf Deiner Website, muss er erst herausfinden, wem er sie melden kann. Eine kleine Textdatei an einem festen Ort nimmt ihm diese Suche ab, solange jemand sie aktuell hält.