Leitfaden für Sicherheitslücken

Häufige Web-Sicherheitslücken verstehen und beheben, die von VitaPulse erkannt werden

HTTP-Sicherheitsheader

Sicherheitsheader weisen Browser an, eingebaute Sicherheitsmechanismen zu aktivieren und schützen Ihre Benutzer vor häufigen Angriffen.

Hoch
Strict-Transport-Security (HSTS)
Zwingt Browser, sich ausschließlich über HTTPS mit Ihrer Website zu verbinden, und verhindert so Protokoll-Downgrade-Angriffe und Cookie-Hijacking.
Hoch
Content-Security-Policy (CSP)
Definiert vertrauenswürdige Inhaltsquellen und verhindert Cross-Site-Scripting (XSS), Dateninjektionen und Clickjacking-Angriffe.
Hoch
X-XSS-Protection
Aktiviert den eingebauten XSS-Filter des Browsers, der verdächtige Scripting-Versuche erkennt und blockiert.
Mittel
X-Content-Type-Options
Verhindert, dass Browser den MIME-Typ erraten (MIME-Sniffing), und erzwingt die Einhaltung des deklarierten Content-Types.
Mittel
X-Frame-Options
Kontrolliert, ob Ihre Website in einem Frame oder Iframe eingebettet werden kann, und schützt vor Clickjacking-Angriffen.
Niedrig
Referrer-Policy
Kontrolliert, welche Referrer-Informationen bei Navigationen und Anfragen gesendet werden.
Niedrig
Permissions-Policy
Kontrolliert den Zugriff auf Browser-APIs und Gerätefunktionen wie Kamera, Mikrofon, Geolokation und Zahlungen.
Niedrig
Cross-Origin-Opener-Policy (COOP)
Isoliert Ihr Browsing-Kontextfenster von cross-origin Fenstern und verhindert, dass externe Seiten Zugriff auf Ihr window-Objekt erhalten.
Niedrig
Cross-Origin-Resource-Policy (CORP)
Beschränkt, welche Origins Ihre Ressourcen laden dürfen, und schützt vor Spectre-basierten Seitenkanalangriffen.
Niedrig
Cross-Origin-Embedder-Policy (COEP)
Stellt sicher, dass alle cross-origin Ressourcen explizit zustimmen, geladen zu werden, und ermöglicht leistungsstarke APIs wie SharedArrayBuffer.
TLS/SSL-Konfiguration

TLS (Transport Layer Security) verschlüsselt die Kommunikation zwischen Browser und Server. Eine Fehlkonfiguration kann sensible Daten preisgeben.

Hoch
Schwaches TLS-Protokoll (TLS 1.0 / 1.1)
Ihr Server unterstützt veraltete TLS-Versionen (1.0 oder 1.1) mit bekannten kryptografischen Schwächen.
Hoch
Schwacher Signaturalgorithmus des Zertifikats
Ihr SSL/TLS-Zertifikat verwendet einen schwachen Signaturalgorithmus (z. B. SHA-1 mit RSA PKCS#1), der für Kollisionsangriffe anfällig ist.
Hoch
Abgelaufenes SSL/TLS-Zertifikat
Ihr SSL/TLS-Zertifikat ist abgelaufen oder läuft innerhalb der nächsten 30 Tage ab.
Mittel
Fehlende Certificate Transparency
Ihr SSL-Zertifikat enthält keine Certificate-Transparency-Informationen (CT), wodurch fälschlich ausgestellte Zertifikate schwerer zu erkennen sind.
Niedrig
Kein Encrypted Client Hello (ECH)
Ihr Server unterstützt Encrypted Client Hello nicht, sodass der Domainname (SNI) während des TLS-Handshakes sichtbar ist.
Lighthouse-Sicherheitsaudits

Google Lighthouse prüft Ihre Website auf grundlegende Sicherheitsprobleme wie HTTPS-Durchsetzung, sichere Berechtigungsanfragen und Content-Security-Policy.

Hoch
Seite wird nicht über HTTPS bereitgestellt
Ihre Website wird über HTTP statt HTTPS bereitgestellt, was den gesamten Datenverkehr unverschlüsselt lässt.
Hoch
HTTP wird nicht auf HTTPS umgeleitet
Ihre Website leitet HTTP-Anfragen nicht automatisch auf HTTPS um.
Hoch
CSP schützt nicht vor XSS
Ihre Content-Security-Policy ist nicht ausreichend konfiguriert, um vor Cross-Site-Scripting-Angriffen (XSS) zu schützen.
Mittel
Keine Trusted-Types-Richtlinie
Ihre Website verwendet keine Trusted Types, eine Browser-API, die DOM-basierte Cross-Site-Scripting-Angriffe verhindert.
Mittel
Geolokation beim Laden angefordert
Ihre Website fordert die Geolokation des Benutzers beim Seitenaufruf an, ohne vorherige Benutzerinteraktion.
Mittel
Benachrichtigungen beim Laden angefordert
Ihre Website fordert Benachrichtigungsberechtigungen beim Seitenaufruf an, ohne vorherige Benutzerinteraktion.
Niedrig
Keine Cross-Origin-Isolation
Ihre Website ist nicht Cross-Origin-isoliert. Dadurch kann sie leistungsstarke Performance-APIs nicht nutzen und ist anfälliger für Seitenkanalangriffe.
Software-Versionen

VitaPulse erkennt Software-Versionen, die auf Ihrer Website sichtbar sind. Veraltete Versionen können bekannte Sicherheitslücken enthalten.

Mittel
Server-Software-Version sichtbar
Der HTTP-Header „Server“ Ihres Servers verrät Name und Version der Software (z. B. Apache/2.4.41, nginx/1.18.0).
Mittel
X-Powered-By-Header sichtbar
Ihr Server sendet einen „X-Powered-By“-Header, der die Backend-Technologie und -Version verrät (z. B. PHP/7.4, Express, ASP.NET).
Mittel
CMS-Version sichtbar
Die Version Ihres CMS (WordPress, Drupal, Joomla usw.) ist in Meta-Tags, im HTML-Quelltext oder in URL-Mustern erkennbar.
Niedrig
JavaScript-Framework-Version sichtbar
Die Version Ihres Frontend-Frameworks (React, Vue, Angular, jQuery usw.) ist über Quellcode-Muster, globale Variablen oder Bibliotheksdateien erkennbar.