Security Headers: Die Response‑Header, die Suchmaschinen und Nutzer gleichermaßen sehen

Sicherheitsheader sind ein kleiner Satz von Response-Header-Direktiven, die entscheiden, was ein Browser auf Ihren Seiten zulässt. Sie kosten nichts, gelten site-wide und sind für jeden sichtbar, der eine Antwort inspiziert, einschließlich der Personen, die bewerten, ob Ihre Seite vertrauenswürdig ist. Ihr Wert ist konkret. HSTS entfernt die Klartext-First-Request, die Downgrade-Attacken möglich macht. Eine Content-Security-Policy begrenzt, welche Ursprünge Skripte ausführen dürfen, enthält einen injizierten Skript statt ihn lesen zu lassen, jedes Mal, wenn er landet. X-Frame-Options und frame-ancestors verhindern, dass Ihre Seiten von einer Seite eingebettet werden, die ihre eigenen Kontrollen über Ihre legt. X-Content-Type-Options verhindert, dass ein Browser rät, dass eine hochgeladene Datei ausführbares JavaScript ist. Referrer-Policy und Permissions-Policy kontrollieren, was die Seite verlässt: welche URLs im Referer-Header reisen und welche Geräte-APIs eingebettete Inhalte anfordern dürfen. Die Suchverbindung ist indirekt und real. Eine Site, die durch einen injizierten Skript kompromittiert wird, beginnt Seiten zu liefern, die nicht Ihre sind, und Suchmaschinen reagieren schnell darauf, zuerst mit Warnungen in den Ergebnissen und dann mit Entfernung. Die Wiederherstellung dauert viel länger als die Konfiguration es hätte. Sie können bestätigen, was Sie liefern, indem Sie die Response-Header auf Ihren eigenen Seiten lesen, was ein Browser, ein Crawler oder ein Sicherheitsprüfer zuerst sieht. Die meisten Sites können alle in einer einzigen Änderung am Rand hinzufügen.

Die kostenpflichtige Diagnose von SEOReport prüft dieses Thema auf den Seiten Ihrer eigenen Website, zeigt die Belege für jeden Befund und ordnet die Korrekturen nach Priorität. Pläne und Preise ansehen.