{"id":52991,"date":"2025-06-20T13:04:15","date_gmt":"2025-06-20T13:04:15","guid":{"rendered":"https:\/\/www.edgenexus.io\/vereinfachung-der-sicherheits-http-header-mit-edgenexus-traffic-management-x-content-type-options\/"},"modified":"2025-06-20T13:04:15","modified_gmt":"2025-06-20T13:04:15","slug":"vereinfachung-der-sicherheits-http-header-mit-edgenexus-traffic-management-x-content-type-options","status":"publish","type":"post","link":"https:\/\/www.edgenexus.io\/de\/blog-de\/vereinfachung-der-sicherheits-http-header-mit-edgenexus-traffic-management-x-content-type-options\/","title":{"rendered":"Vereinfachung der Sicherheits-HTTP-Header mit edgeNEXUS Traffic Management: X-Content-Type-Options"},"content":{"rendered":"

 <\/p>\n

Etwas, das bei den Sicherheitstests, die wir alle \u00fcber uns ergehen lassen m\u00fcssen, h\u00e4ufig auftaucht (leider aus gutem Grund), ist das Fehlen oder die Inkonsistenz bei der Angabe des HTTP-Headers X-Content-Type-Options in den Antworten des Webservers. Das mag ein \u00c4rgernis sein, aber je sicherer unsere Website und ihre Besucher sind, desto besser. <\/p>\n

Wozu ist dieser Header \u00fcberhaupt gut? Ganz einfach: Chrome und Internet Explorer verf\u00fcgen \u00fcber eine sogenannte \u201eMIME-Sniffing\u201c-Funktion, die standardm\u00e4\u00dfig aktiviert ist und den Inhaltstyp einer Webserver-Antwort erkennt. Dies dient dazu, eine Webseite besser darzustellen, selbst wenn der Webserver etwas falsch macht oder eine Seite schlecht geschrieben ist und einen falschen Inhaltstyp angegeben hat. <\/p>\n

Eine Website kann beispielsweise \u00fcber den Header Content-Type und den Wert text\/plain eine Antwort senden, die besagt, dass der enthaltene Inhalt Text ist. Der Browser erkennt, dass es sich um eine PDF-Datei handelt und zeigt diese korrekt an. Andernfalls k\u00f6nnte er versuchen, es als Text darzustellen, was zu einer verst\u00fcmmelten oder unlesbaren Seite f\u00fchrt. F\u00fcr einige Browser-Entwickler ist diese h\u00fcbsche Seite besser als die Einhaltung von Standards. <\/p>\n

H\u00f6rt sich nicht so schlimm an? Nun, jede Software, die Sie in Ihrem Browser einsetzen, um das Herunterladen, Anzeigen oder Ausf\u00fchren bestimmter Arten von Inhalten zu verhindern, kann durch diese Funktion umgangen werden. Es gibt viele Gr\u00fcnde, warum wir ausf\u00fchrbare Dateien, Zip-Dateien, Word-Dateien und dergleichen blockieren m\u00f6chten. Unter Windows ist es immer noch m\u00f6glich, einen PC mit nur einem GIF-Bild zu \u201ebesitzen\u201c. <\/p>\n

Jede Software, die wir zum Schutz vor solchen Bedrohungen einsetzen, indem sie diese Inhalte blockiert, kann nur den Wert des Content-Type-Headers pr\u00fcfen und auf der Grundlage dieses Wertes entsprechend handeln. Wenn der Browser etwas v\u00f6llig anderes tut als erwartet, ist das nicht hilfreich und stellt ein Risiko dar. <\/p>\n

Das Sch\u00f6ne an der Verwendung eines Load Balancers ist, dass wir dies nur an einer einzigen Stelle tun m\u00fcssen, um es auf allen unseren Servern einzusetzen. Wir m\u00fcssen uns nicht auf Entwickler oder Apache-Neukonfigurationen verlassen. Auf dem edgeNEXUS Load Balancer importieren wir einfach eine jetPACK-Konfigurationsvorlage und weisen dem oder den virtuellen Diensten, die wir sch\u00fctzen m\u00f6chten, eine flightPATH-Verkehrsregel zu. <\/p>\n

Die Regel f\u00fcgt die Kopfzeile nur hinzu, wenn sie nicht vorhanden ist. Sie funktioniert also auch dann, wenn unsere Webserver sie bereits einf\u00fcgen oder nur f\u00fcr bestimmte Seiten einf\u00fcgen. Diese Regel sollte Teil Ihrer Standardkonfiguration des Virtuellen Dienstes sein – Sie haben nichts zu verlieren, egal wie die Seite aussieht, obwohl ein Test nat\u00fcrlich immer empfehlenswert ist. Sie k\u00f6nnen das jetPACK auf der edgeNEXUS Github-Seite hier<\/a> herunterladen. <\/p>\n

Dies ist eine der vielen flightPATH-Regeln, die wir entwickelt haben und die Sie einsetzen k\u00f6nnen, um die Sicherheit Ihrer Website und ihrer Benutzer zu verbessern. Weitere Informationen \u00fcber sicherheitsrelevante HTTP-Header finden Sie in diesen Artikeln: <\/p>\n