Premium WordPress-Wartung · by Frontend GmbH
Was bringt eine Content Security Policy?
Die Antwort.
Eine Content Security Policy begrenzt, aus welchen Quellen Browser Skripte, Styles, Bilder und andere Inhalte laden dürfen. Sie kann Angriffe erschweren, muss aber schrittweise getestet werden, damit legitime Formulare, Tracking- oder Drittanbieterdienste nicht ausfallen.
Sofern im Betreuungsumfang vereinbart, führen wir eine CSP Ihrer Website schrittweise ein und prüfen, ob notwendige Skripte, Formulare und Drittanbieter weiterhin funktionieren.
CSP reduziert die Wirkung vieler eingeschleuster Browserinhalte
Sie ist besonders gegen Cross-Site-Scripting wertvoll, wenn Quellen eng begrenzt sind. Eine sehr offene Richtlinie oder pauschale Ausnahmen schwächen diesen Nutzen.
- Benötigte Script-, Style-, Bild- und Frame-Quellen inventarisieren.
- Zunächst Report-Only verwenden und Verstöße auswerten.
- Inline-Skripte möglichst mit Nonces oder Hashes statt unsafe-inline behandeln.
- Richtlinie bei Plugin- und Marketingänderungen mitpflegen.
Eine CSP dokumentiert zugleich externe Abhängigkeiten
Die Quellenliste macht sichtbar, welche Domains Scripts, Frames, Fonts oder Bilder liefern. Wildcards und unsafe-inline erleichtern die Einführung, schwächen aber den Schutz. Ein Reifeweg reduziert solche Ausnahmen schrittweise und nutzt Nonces oder Hashes, wo technisch möglich. Berichte müssen gefiltert werden, weil Browsererweiterungen und fremde Clients ebenfalls Verstöße erzeugen können.
Reports benötigen Datenschutz und Begrenzung
CSP-Berichte können vollständige URLs und damit sensible Parameter enthalten. Der Report-Endpunkt wird geschützt, Datenmenge begrenzt und die URL-Gestaltung so gewählt, dass unnötige personenbezogene Informationen vermieden werden.
CSP als kontrollierte Quellenliste entwickeln
Die Richtlinie begrenzt Script-, Style-, Bild-, Font- und Frame-Quellen. Wildcards und unsafe-inline erleichtern den Start, schwächen aber den Schutz. Nonces oder Hashes können Inline-Code kontrollierter erlauben, sofern die technische Plattform sie zuverlässig unterstützt.
CSP-Berichte selbst datensparsam betreiben
Report-Only-Daten zeigen Verstöße vor der Durchsetzung, enthalten aber auch Browsererweiterungen und Rauschen. Berichte können sensible URL-Parameter enthalten und werden entsprechend geschützt. Bei neuen Marketingtools oder Plugins wird die Richtlinie angepasst. CSP ergänzt sichere Entwicklung und Updates, repariert keinen bereits kompromittierten Servercode.
Verwandte Fragen.
Welche Security Header sind für WordPress sinnvoll?
Sinnvoll sind insbesondere HSTS, Content-Security-Policy, X-Content-Type-Options, Referrer-Policy und ein Schutz gegen unerwünschtes Framing.
Was bedeutet Security Monitoring rund um die Uhr?
Security Monitoring rund um die Uhr bedeutet, dass technische Systeme kontinuierlich Daten und Ereignisse prüfen.
Wie wird ein Sicherheitsnotfall in der Kunden-App dokumentiert?
Ein Sicherheitsnotfall Ihrer Website wird in der Kunden-App als Incident mit Zeitpunkt, Beschreibung, Status, Anhängen und Bearbeitungsverlauf dokumentiert.
Welche Verantwortung bleibt beim Unternehmen?
Beim Unternehmen bleiben geschäftliche Entscheidungen, sichere Endgeräte und E-Mail-Konten, Benutzerfreigaben, Lizenz- und Datenschutzpflichten sowie die Information über Änderungen durch andere Dienstleister.
Ihre Website-Betreuung klären.
Beschreiben Sie uns Ihre Website und Ihr Anliegen. Im Gespräch legen wir fest, welche Betreuung Sie benötigen.