Wie Websites sicherer werden: So funktioniert die Content-Security-Policy

Erweiterte Einstellungen zur Content-Security-Policy

Über die Content-Security-Policy können Webmaster viele wichtige Einstellungen vornehmen, wie z.B. durch diese Direktiven:

• base-uri: Beschränkt die URLs, die im <base>-Element der Webpage auftauchen dürfen
• child-src: Legt fest, aus welchen Quellen Daten in Frames auftauchen dürfen, z. B. bei eingebetteten Videos von Drittanbietern.
• connect-src: Beschränkt die Quellen, mit denen sich die Seite verbinden kann, z. B. über Links.
• font-src: Bestimmt die Quellen, aus denen Schriftarten geladen werden dürfen.
• form-action: Stellt eine Liste von gültigen Endpunkten in Formularen bereit.
• frame-ancestors: Legt fest, welche Domains die Seite in Frames und iFrames einbauen dürfen.
• img-src: Beschränkt die Quellen, aus denen Bilder geladen werden dürfen.
• media-src: Legt fest, aus welchen Quellen Audio- und Video-Formate geladen werden dürfen.
• object-src: Definiert die Kontrolle über Flash und andere Plug-ins.
• plugin-types: Limitiert die Arten von Plug-ins.
• report-uri: Spezifiziert eine URL, an die Berichte geschickt werden, wenn gegen die Sicherheitsmaßnahmen verstoßen wurde.
• script-src: Bestimmt, welche Quellen für JavaScript erlaubt sind.
• style-src: Funktioniert wie script-src, wird allerdings bei Stylesheets angewendet.
• upgrade-insecure-requests: Legt fest, dass unsichere Seiten mit HTTP wie HTTPS-Seiten behandelt werden.
• sandbox: Verschiebt die betreffende Seite in eine Sandbox, in der u. a. Formulare, Pop-ups und Skripte verboten sind.

Diese Direktiven gelten nur, wenn sie ausdrücklich gesetzt sind. Ansonsten stehen sie standardmäßig offen und stellen somit eine Sicherheitslücke dar.

Quellen lassen sich als Adressen, in ihrer Art oder auch als Wildcards eingeben. Folgende Eingaben sind zulässig:

• script-src https://example.com:443 – Skripte sind nur von dieser Domain per HTTPS zulässig.

• script-src ’none‘ – Skripte dürfen nicht geladen werden.

• script-src ’self‘ – Skripte dürfen aus demselben Ursprung wie die aktuelle Seite geladen werden, nicht aber von Subdomains.

• script-src https: – Skripte dürfen von jeglicher Domain geladen werden, solange sie mit HTTPS beginnt.

• script-src example.com – Skripte dürfen von dieser Domain geladen werden.

• script-src *.example.com – Skripte von dieser Domain und von allen Subdomains sind zulässig.

• img-src data: – Bilder dürfen über Data-URLs geladen werden.

Eine Content-Security-Policy legt grundlegend fest, dass Skripte nur aus Dateien geladen werden dürfen, nicht direkt aus dem Code der Website. Möchten Sie dies umgehen, können Sie den Befehl script-src ‚unsafe-inline‘ verwenden. Es sollte Ihnen aber bewusst sein, dass Sie damit wiederum eine Sicherheitslücke schaffen.

Wenn Skripte nicht mehr im Code direkt auftauchen dürfen, müssen Sie für jedes Skript eine eigene Datei anlegen. Die Funktion des Skripts wird in eine .js-Datei ausgelagert. Auch Style-Elemente müssen Sie in gesonderte Stylesheets auslagern. 

Wenn Sie als Webmaster eine Internet-Security-Policy einführen möchten, reicht es nicht, den Header einzufügen. Sie müssen auch den Quellcode Ihrer Website überprüfen und anpassen.