Security Headers: Die Response‑Header, die Suchmaschinen und Nutzer gleichermaßen sehen

Security‑Header sind ein kleiner Satz von Response‑Header‑Direktiven, die bestimmen, was ein Browser auf Ihren Seiten zulässt. Sie kosten nichts, gelten site‑wide und sind für jeden sichtbar, der eine Antwort inspiziert, einschließlich der Personen, die bewerten, ob Ihre Seite vertrauenswürdig ist. Ihr Wert ist konkret. HSTS entfernt die reine Text‑Erstanforderung, die Downgrade‑Angriffe möglich macht. Eine Content‑Security‑Policy begrenzt, welche Ursprünge Skripte ausführen dürfen, sodass ein injizierter Skript nicht jede Seite lesen kann, auf der er landet. X‑Frame‑Options und frame‑ancestors verhindern, dass Ihre Seiten von einer Seite eingebettet werden, die ihre eigenen Steuerelemente über Ihre legt. X‑Content‑Type‑Options verhindert, dass ein Browser errät, dass eine hochgeladene Datei ausführbar JavaScript ist. Referrer‑Policy und Permissions‑Policy steuern, was die Seite verlässt: welche URLs im Referer‑Header reisen und welche Geräte‑APIs eingebettete Inhalte anfordern dürfen. Die Verbindung zur Suche ist indirekt und real. Eine durch einen injizierten Skript kompromittierte Seite beginnt, Seiten zu bedienen, die nicht Ihre sind, und Suchmaschinen reagieren schnell darauf, zunächst mit Warnungen in den Ergebnissen und dann mit Entfernung. Die Wiederherstellung dauert viel länger, als die Konfiguration es vermuten lässt. Diese Prüfungen lesen die Header in Ihrer Homepage‑Antwort. Die meisten Seiten können alle in einer einzigen Änderung am Edge hinzufügen.