Schutz vor schädlichen Skripten (CSP)

Wer helfen kann

Ihr Webentwickler

Erst prüfen, dann ändern

Nutzen Sie diese Schritte für eine Website oder E-Mail-Domain, die Sie verwalten. Ersetzen Sie die großgeschriebenen Platzhalter durch Ihre eigenen Werte. Wenn sich ein Schritt auf gespeicherte Belege bezieht, führen Sie die kostenlose Prüfung durch und bestätigen Sie Ihre Domain, um den privaten Bericht zu öffnen. Verwenden Sie genau den dort angezeigten Hostnamen oder DNS-Abfragenamen.

1. Prüfen Sie auf der HTTPS-Startseite sowohl Content-Security-Policy als auch Content-Security-Policy-Report-Only. Listen Sie mit Ihrem Webentwickler die Skripte, Frames, Schriften und Verbindungen auf, die die Website braucht, bevor Sie eine Report-Only-Richtlinie entwerfen, und legen Sie eine von Ihnen freigegebene Empfangsadresse für die Meldungen fest.

Bestehende durchgesetzte Richtlinie: RECORD
Bestehende Report-Only-Richtlinie: RECORD
Benötigte Ressourcen und wichtige Abläufe: INVENTORY
Empfänger und Aufbewahrung der Meldungen: OWNER_APPROVAL

Was zu tun ist

Hier ist Sorgfalt nötig, denn eine zu strenge Richtlinie kann dazu führen, dass Ihre Website nicht mehr richtig funktioniert. Bitten Sie Ihren Webentwickler, die Skripte, Schriften und Dienste aufzulisten, die Ihre Website nutzt (Webanalyse, Zahlungen, Chat), und eine Richtlinie zunächst im „Report-Only“-Modus zu testen, der Probleme meldet, ohne etwas zu blockieren. Stellen Sie erst auf Durchsetzung um, wenn Ihre wichtigsten Seiten funktionieren, und halten Sie die bisherige Einstellung zur Wiederherstellung bereit.

So überprüfen Sie die Änderung

Führen Sie diese Prüfung erneut aus: Dieser Punkt sollte „Gut“ anzeigen. Testen Sie dann Ihre wichtigsten Seiten (Kontaktformular, Bestellvorgang, Buchung), um sicherzugehen, dass nichts kaputtgegangen ist.