Ich wollte wissen, wie gut bekannte Websites Sicherheits-Header tatsächlich einsetzen, und habe meinen kostenlosen Header-Check auf 57 davon angewendet: Tech-Firmen, soziale Netze, Shops, Banken und Zahlungsanbieter, Medien, Hosting- und Telekom-Anbieter sowie Behörden. Das vollständige Ergebnis ist eine sortierbare Heatmap im Header-Ranking. Das fällt auf.
Die Zahlen
- HSTS: 48 von 57 senden ihn mit mindestens sechs Monaten Laufzeit. Das ist weitgehend gelöst.
- Frame-Schutz (X-Frame-Options oder frame-ancestors): 49 von 57.
- X-Content-Type-Options: nosniff: 44 von 57.
- Content-Security-Policy ohne
'unsafe-inline'in script-src: nur 21 von 57. 63 % haben keine wirksame CSP. - Referrer-Policy: 14. Permissions-Policy: 15. Cross-Origin-Opener-Policy: 12.
Der Median liegt bei 60 von 100 Punkten, also Note C. Vier Seiten erreichen ein A: gov.uk (95) sowie facebook.com, instagram.com und whatsapp.com (je 90).
Warum die CSP die Lücke ist
Die übrigen Header sind Ein-Zeilen-Schalter. Eine Content-Security-Policy verlangt, dass Sie jede Stelle kennen, von der Ihre Seiten Skripte laden, und eine strenge Richtlinie bricht Seiten, die auf Inline-Skripte und Drittanbieter-Tags angewiesen sind. Deshalb fehlt sie am häufigsten, obwohl sie gegen Cross-Site-Scripting am meisten bringt. Ein Einstieg ohne Risiko ist der Report-Only-Modus. Das Starter-Set für nginx zeigt, wie.
Fair lesen
- Es ist eine Momentaufnahme der Startseite. Header können je Pfad, Region oder Client abweichen.
- Bewertet werden nur acht Header. Eine schlechte Note heißt: Diese Header sind hier nicht gesetzt, nicht: Der Dienst ist unsicher.
- Große Anbieter sichern Anmelde- und API-Domains oft getrennt ab, und die stehen nicht in dieser Liste.
- Die Wertung entspricht dem kostenlosen Check: CSP 25, HSTS 20, Frame-Schutz 15, nosniff, Referrer-Policy und Permissions-Policy je 10, COOP und „keine Versionsangabe“ je 5.
Was Sie damit tun können
Prüfen Sie Ihre eigene Seite in zehn Sekunden mit dem Header-Check, beheben Sie zuerst die günstigen Punkte (HSTS, nosniff, Referrer-Policy, Permissions-Policy) und planen Sie die CSP als kleines Projekt, zuerst im Report-Only-Modus. Testen Sie nach jeder Änderung an Proxy, Panel oder CDN neu, denn jede Schicht kann Header hinzufügen oder entfernen.
Das Ranking wird von Zeit zu Zeit neu gemessen. Wenn Sie eine Seite für falsch bewertet halten, schreiben Sie mir welche und warum, ich schaue es mir an.