HTTP Security Header Beispiele zum Kopieren
Security-Header sind HTTP-Antwortheader, mit denen ein Server dem Browser Schutzmaßnahmen vorgibt, etwa das Verbot von MIME-Sniffing oder Framing. Die Seite enthält gängige Header mit je einem Beispielwert, darunter Permissions-Policy, die Cross-Origin-Policies und Cache-Control: no-store. Sie dienen als Ausgangspunkt für eigene Konfigurationen und sollten gegen die eigene Seite geprüft werden.
10 Varianten auf einer Seite, jede mit eigenem Kopier- oder Download-Knopf.
X-Content-Type-Options
X-Content-Type-Options: nosniff
Verhindert MIME-Sniffing.
X-Frame-Options DENY
X-Frame-Options: DENY
Alte Variante zu frame-ancestors; erlaubt DENY und SAMEORIGIN.
Referrer-Policy strict-origin-when-cross-origin
Referrer-Policy: strict-origin-when-cross-origin
Standard moderner Browser.
Permissions-Policy: Kamera, Mikrofon, Standort aus
Permissions-Policy: camera=(), microphone=(), geolocation=()
Leere Liste () schaltet die Funktion für alle Ursprünge ab.
Cross-Origin-Opener-Policy same-origin
Cross-Origin-Opener-Policy: same-origin
Isoliert das Browsing-Kontext-Fenster von fremden Ursprüngen.
Cross-Origin-Embedder-Policy require-corp
Cross-Origin-Embedder-Policy: require-corp
Verlangt, dass eingebettete Ressourcen CORP oder CORS erlauben.
Cross-Origin-Resource-Policy same-site
Cross-Origin-Resource-Policy: same-site
Beschränkt, wer die Ressource laden darf.
Cache-Control für sensible Antworten
Cache-Control: no-store
Verhindert Speichern in Browser- und Proxy-Caches.
Clear-Site-Data beim Abmelden
Clear-Site-Data: "cache", "cookies", "storage"
Die Werte stehen in Anführungszeichen.
Typischer Block mit Sicherheits-Headern
Strict-Transport-Security: max-age=31536000; includeSubDomains Content-Security-Policy: default-src 'self'; frame-ancestors 'none' X-Content-Type-Options: nosniff …
Sechs Header als Ausgangspunkt für eine Antwort.