Sicherheitsleiter Inspektor
Erkennen Sie fehlende oder schwache Response-Sicherheits-Header und verstehen Sie, was jeder tut.
Wie es misst
- Header werden von der endgültigen Antwort nach Redirects gelesen.
- Die Befunde beschränken sich auf die Anwesenheit und einige bekannte schwache Muster, jedes mit einer Erklärung.
Grenzwerte
- Header allein stellen nicht sicher, dass eine Site sicher ist, und fehlende Header beweisen nicht, dass sie anfällig ist. Dies ist eine Konfigurationsüberprüfung, keine Schwachstellenbewertung.
- Ein CSP muss mit Ihren eigenen Seiten getestet werden; eine strenge Richtlinie kann die legitime Funktionalität beeinträchtigen.
Fehlerbehebung
- CSP markiert schwach
- Die Richtlinie erlaubt unsichere Inline- oder Wildcards. Wechseln Sie schrittweise zu Nonces oder Hashes, indem Sie zuerst den Nur-Bericht-Modus verwenden.