Was es ist
Jedes Mal, wenn ein Browser deine Seite lädt, schickt dein Server neben der eigentlichen Seite auch eine kurze Liste von Anweisungen mit, die nirgendwo sichtbar angezeigt werden — man nennt sie "Header". Ein paar bestimmte Header existieren ausschließlich zur Sicherheit: Sie sagen dem Browser zum Beispiel "rate nicht selbst, um welchen Dateityp es sich handelt" oder "lass keine andere Website meine Seite unsichtbar in einem Rahmen einbetten". Sie verändern das Aussehen deiner Seite überhaupt nicht — für Besucher sind sie völlig unsichtbar und arbeiten still im Hintergrund.
Warum es wichtig ist
Ohne sie fällt der Browser auf ein großzügigeres, jahrzehntealtes Standardverhalten zurück, auf das sich einige Angriffe gezielt verlassen — etwa einen Browser dazu zu bringen, eine Datei als etwas anderes auszuführen, als sie ist, oder deine Login-Seite unsichtbar in eine andere Website einzubetten, um eingegebene Daten zu stehlen. Fehlende Security-Header lassen heute vielleicht nichts sichtbar kaputtgehen, aber sie gehören zu den ersten Dingen, die ein sicherheitsbewusster Besucher, ein möglicher Geschäftspartner bei einer einfachen Prüfung oder ein automatischer Scanner kontrolliert — und "hier ist nichts davon konfiguriert" wirkt wie eine Website, die noch nicht fertig eingerichtet wurde.
So behebst du es
- Finde heraus, wie deine Website gehostet wird: über einen statischen Host wie Netlify, Vercel oder Cloudflare Pages, über ein klassisches Webhosting mit cPanel, oder auf einem eigenen Server.
- Bei Netlify oder Cloudflare Pages: Füge eine einfache Textdatei namens
_headersin den veröffentlichten Ordner deiner Website ein, mit Zeilen wieX-Content-Type-Options: nosniff— beide Plattformen wenden das automatisch an, ganz ohne Programmierung. - Bei Vercel: Füge eine Datei
vercel.jsonmit einem Abschnittheadershinzu, der dieselben Header-Namen und -Werte auflistet — die Dokumentation von Vercel enthält dafür ein direkt kopierbares Beispiel. - Bei einem klassischen Hoster oder einem eigenen Server frag den Support deines Anbieters (oder suche nach "[Name deines Hosters] Security-Header hinzufügen") — die meisten haben dafür eine kurze, konkrete Anleitung für ihr Kontrollzentrum.
- Füge mindestens
X-Content-Type-Options: nosniffundReferrer-Policy: strict-origin-when-cross-originhinzu — diese beiden sind sicher, einfach und für so gut wie jede kleine Website geeignet. - Führe deinen Launch-Readiness-Check danach erneut aus, um zu bestätigen, dass die Header jetzt erkannt werden.