HTTP headers: X-Content-Type-Options

Hinzufügen des X-Content-Type-Options-Headers:

Möglicherweise hat unser Sicherheitsscan erkannt, dass auf Ihrer Webseite der HTTP-Header X-Content-Type-Options fehlt. Wenn Sie diese Fehlermeldung erhalten, bedeutet dies, dass Ihre Webseite anfällig für MIME-Sniffing-Attacken sein könnte. Angreifer könnten versuchen, den Content-Type von Dateien zu manipulieren und damit potenzielle Sicherheitsrisiken zu schaffen.

Dieses Risiko wird als mittelschwer bis hoch eingestuft, abhängig von den spezifischen Umständen Ihrer Webseite. Obwohl dieses Problem nicht so weit verbreitet ist wie andere Sicherheitslücken, ist es dennoch ernst zu nehmen und sollte umgehend behoben werden.

Durch Hinzufügen des X-Content-Type-Options-Headers mit dem Wert „nosniff“ zu Ihrem Server können Sie die Browseranweisung erzwingen, den MIME-Typ von gehosteten Inhalten nicht zu ändern. Dies stellt eine effektive Verteidigung gegen MIME-Sniffing-Angriffe dar. Die Implementierung dieses Headers ist relativ unkompliziert, verbessert jedoch die allgemeine Sicherheitspostur Ihrer Webseite erheblich.

MIME Sniffing mit X-Content-Type-Options verbieten

Webentwickler, die sich mittels Content Security Policy vor Cross-Site-Scripting-Angriffen schützen wollen, sollten auf jeden Fall den X-Content-Type-Options-Header verwenden. Nur dann ist der Schutz, den CSP bietet, wirklich vollständig.

Wenn beispielsweise eine Bilddatei HTML-Tags in ihren Kommentaren enthält und mit einem Content-Typ serviert wurde, der nicht für das Servieren von Bildern verwendet wird, wird der Browser versuchen zu erraten, wie der Inhalt gerendert werden soll.

Sobald er die HTML-Elemente sieht, wird er als HTML gerendert, was aktiven Inhalt wie Skripte, Flash usw. enthalten kann und aus einer harmlosen Bilddatei eine potenzielle Bedrohung machen kann. Dieser Header bewirkt, dass der Browser den Inhalt lädt und anzeigt, wenn der Content-Type der erwartete ist.

Verbieten Sie dem Browser das Erraten der Response-Typen. In den HTTP-Header gehört:

Schützen Sie Ihre Webseite vor MIME-Sniffing-Attacken:

Hackern gelingt es manchmal, schädlichen Code durch hochgeladene Dateien, wie Bilder, auf Websites zu schmuggeln. Ihr Browser könnte diesen Code unbemerkt ausführen und damit Ihr System gefährden. Um solchen Risiken vorzubeugen, empfiehlt es sich, für das Hochladen von Nutzerinhalten wie Bildern oder Videos eine separate Subdomain zu verwenden.

Diese Sicherheitsmaßnahme sorgt dafür, dass schädliche Dateien nicht direkt mit der Hauptwebsite interagieren können und somit das Risiko einer Infektion minimiert wird.

PHP

header('X-Content-Type-Options: nosniff');

Rundum-Absicherung

HTTP-Sicherheits-Header
Inhaltsicherheitsrichtlinie (CSP)
XSS-Absicherung

Ihr Internet-Auftritt ist nur so sicher wie die schwächste Stelle.

Schlüsselfertige Absicherung:

Unsere Experten erledigen diese Aufgabe komplett für Sie.
Statt 289,- € jetzt zum Vorzugspreis von 149,- €

Jetzt Starten »