Security-Header und TLS passend
zu Ihrer Website einrichten
Ein Prüfwerkzeug meldet fehlende Sicherheitsheader. Gleichzeitig soll Ihre Website weiterhin Formulare, Videos oder Zahlungsdienste zuverlässig laden. Runar-Data prüft, welche Browserregeln und Verbindungseinstellungen zu Ihrer Website passen, und setzt vereinbarte Änderungen mit anschließender Funktionskontrolle um. Eine kopierte Konfiguration oder eine gute Scannernote allein beantwortet diese Aufgabe nicht.
TLS schützt die Übertragung zwischen Browser und angesprochenem Server. Security-Header geben dem Browser zusätzliche Regeln für den Umgang mit Inhalten. Beide haben einen bestimmten Wirkungsbereich: Sie ersetzen weder sicher programmierten Anwendungscode noch gepflegte Erweiterungen und geschützte Verwaltungszugänge. Für eine breitere Untersuchung steht die Website-Sicherheitsprüfung bereit.
Den tatsächlichen Auslieferungsweg prüfen
Zuerst klären wir, wo Antworten Ihrer Website entstehen und verändert werden: beim Hostinganbieter, Webserver oder einem vorgeschalteten Auslieferungsdienst. Wir prüfen die vereinbarten Domains und Antworttypen auf HTTPS-Weiterleitungen, Zertifikatsprobleme, angebotene TLS-Konfiguration und vorhandene Header. Unterschiedliche Einstellungen auf Unterseiten oder Weiterleitungen werden berücksichtigt, soweit sie zum Auftrag gehören.
Den tatsächlichen Auslieferungsweg prüfen
Anschließend legen wir die vorgesehenen Änderungen und einen Rückweg bei Funktionsproblemen fest. Ob eine Anpassung möglich ist, hängt von den verfügbaren Rechten und den Funktionen Ihres Hostingtarifs ab. Bei weitergehenden Serverfragen führt der Weg zu Server und Hosting härten.
Server und Hosting härten
Zugänge, Laufzeiten, Dienste, Rechte und Zertifikate werden mit den Möglichkeiten Ihres Hostings abgeglichen. Bei Managed Hosting bleibt sichtbar, welche Einstellungen der Anbieter verwaltet.
CSP aus den benötigten Inhalten ableiten
Eine Content Security Policy, kurz CSP, begrenzt unter anderem, aus welchen Quellen bestimmte Inhalte geladen werden dürfen. Dafür erfassen wir die benötigten Skripte, Schriften, Bilder und Verbindungen der vereinbarten Funktionen. Auch Einbettungen werden berücksichtigt. Die Regeln sollen unnötige Freigaben vermeiden und berechtigte Abläufe erhalten.
CSP aus den benötigten Inhalten ableiten
Eine neue Richtlinie kann zunächst im Report-Only-Modus untersucht werden. Dieser Modus meldet Verstöße, blockiert sie aber nicht. Ob und wohin Meldungen übertragen werden, wird vorab abgestimmt; ein Meldeendpunkt und dessen Betreuung sind keine automatisch enthaltene Dauerleistung. Nach Auswertung und Funktionsprüfung kann die freigegebene Richtlinie durchgesetzt werden. Laufende Anpassungen nach Website-Änderungen gehören bei Bedarf zur Wartung und Betreuung.
HTTPS, TLS und Security-Header: Was schützt was?
Ein HTTPS-Schloss schützt nicht die gesamte Website. Der Beitrag erklärt den Wirkungsbereich von TLS, CSP und HSTS sowie die Frage, weshalb strengere Regeln einen Funktionstest brauchen.
Änderungen kontrollieren und dokumentieren
Je nach Bedarf werden außerdem Einbettungsregeln, Inhaltstypbehandlung und die Weitergabe von Herkunftsinformationen geprüft. Bei HSTS, der Anweisung zur künftigen HTTPS-Nutzung, betrachten wir Laufzeit und betroffene Subdomains bewusst. Eine Einbeziehung aller Subdomains oder eine Preload-Aufnahme wird nicht ungeprüft aktiviert.
Änderungen kontrollieren und dokumentieren
Sie erhalten die vereinbarten Einstellungen mit Datum, betroffenen Bereichen und Ergebnissen der Nachkontrolle. Dazu gehören ausgewählte Funktionsabläufe und verbleibende Einschränkungen. Ein Scannerwert kann die Kontrolle ergänzen, ist aber kein Sicherheitssiegel.
Für Ihre Anfrage zur Absicherung genügen zunächst Domain und Anlass. Gibt es Anzeichen eines bestehenden Angriffs, nutzen Sie die Hilfe nach Hackerangriff. Zugangsdaten werden erst über einen abgestimmten Weg ausgetauscht.
Technische Zweitprüfung
Wurde eine gemeldete Schwachstelle tatsächlich behoben? Die Zweitprüfung vergleicht ausgewählte Änderungen mit dem Ausgangsbefund und hält fest, was behoben, offen oder nicht vergleichbar ist.
Passende Browserrichtlinien und Funktionstest
Bei CSP werden benötigte Quellen und Einbindungen erfasst, bevor Regeln abgestimmt und nach Möglichkeit schrittweise erprobt werden. Einbettungsschutz etwa über frame-ancestors muss zulässige Einbettungen berücksichtigen. Referrer-Policy, Permissions-Policy und X-Content-Type-Options können je nach Website ergänzen. Nicht jede Richtlinie passt unverändert zu jeder Anwendung.
Passende Browserrichtlinien und Funktionstest
HSTS setzt zuverlässig nutzbares HTTPS und einen geklärten Geltungsbereich voraus. Zertifikatsbetrieb, Subdomains und mögliche Auswirkungen langfristiger Einstellungen werden vor einer Aktivierung betrachtet. Eine Preload-Aufnahme wird nicht pauschal vorausgesetzt. Zum vereinbarten Funktionstest gehören relevante Formulare, Medien, externe Dienste und Einbettungen. TLS-Konfiguration und Zertifikatszuständigkeiten werden mit dem Hosting abgeglichen. Der Ratgeber zu HTTPS, TLS und Headern erklärt die unterschiedlichen Aufgaben.
Formulare prüfen
Eine Formularprüfung verfolgt die Anfrage durch Felder, Übertragung, Empfang und erreichbare Speicherstellen. Sie berücksichtigt mögliche Kopien, Spamschutz und die tatsächliche Rückmeldung an Besucher.
Browserregeln und verschlüsselte Übertragung
CSP, HSTS und weitere Header müssen zu Formularen, Medien und externen Diensten passen. TLS-Einstellungen und Zertifikatsbetrieb werden mit dem Auslieferungsweg und Hosting abgeglichen.
Anliegen besprechen
Nennen Sie die betroffene Domain, bekannte Headerwarnungen und Funktionen wie Formulare, Videos oder externe Einbettungen, die weiter arbeiten müssen.
Bitte keine Zugangsdaten oder vertraulichen Dateien im Erstkontakt. Einen geschützten Austausch stimmen wir bei Bedarf gesondert ab.Kontakt aufnehmen