Content Security Policy: bewusst planen, testen und durchsetzen
Content Security Policy beschränkt bestimmte Lade- und Ausführungsverhalten von Ressourcen im Browser. Anwendungsspezifisch gestaltet kann sie konkrete Risiken reduzieren, ersetzt aber keinen sicheren Code und garantiert keine SEO-Leistung direkt.
Legitime Ressourcen inventarisieren
Listen Sie Skripte, Styles, Bilder, Frames und Verbindungen wichtiger Abläufe auf. Beziehen Sie Zahlungs-, Einwilligungs- und Analyseintegrationen mit Verantwortlichen ein. Prüfen Sie Richtlinien aus Anwendungsrouten, CDN-Konfiguration und Fehlerantworten. Mehrere Ebenen können zusammenwirken; untersuchen Sie die tatsächliche Antwort statt nur einer Konfigurationsdatei.
Vor breiter Durchsetzung testen
Entwickeln Sie die Richtlinie in geeigneter Testumgebung und verwenden Sie gegebenenfalls reine Berichtsfunktionen. Reproduzieren Sie Verstöße und trennen Sie erforderliche Ressourcen von unnötigen Integrationen. Lösen Sie nicht jeden Verstoß mit Platzhaltern oder unsicheren Ausnahmen. Kopieren Sie ebenso wenig eine strenge fremde Richtlinie in der Annahme, alle Formulare und Zahlungen funktionierten weiter.
Beispiel: Eine notwendige API-Verbindung wird abgewiesen
Angenommen, die Seite lädt normal, doch ihr Formular erreicht unter der geplanten Richtlinie die vorgesehene API nicht. Prüfen Sie den Browser-Verstoß, bestätigen Sie die API-Rolle und ergänzen Sie nur die begründete Quelle in der passenden Direktive. Testen Sie gültiges Absenden, Fehlerbehandlung und unabhängige Seiten erneut. Dies ist ein Konfigurationstest, keine universelle einsatzfertige Richtlinie.
Schutz und Nutzbarkeit prüfen
- Untersuchen Sie die tatsächlich in Produktion ausgelieferte Richtlinie.
- Testen Sie repräsentative authentifizierte und öffentliche Abläufe autorisiert.
- Prüfen Sie Berichte auf unerwartete Ressourcen und Fehlalarme.
- Dokumentieren Sie Zuständigkeit, Änderungen und Wiederherstellungsverfahren.
SearchBastions SSL- und Header-Prüfung beobachtet Antwortkonfigurationen. Sie zertifiziert keine vollständige Richtlinie und beweist nicht die Abwesenheit ausnutzbarer Anwendungsfehler. Ein fehlender Header allein erklärt keinen Rankingverlust.
Nutzen Sie den CSP-Leitfaden von MDN, um Direktiven und Bereitstellungsoptionen Ihrer tatsächlichen Anwendung zu verstehen.
Überprüfen Sie Ihre Website kostenlos
Führen Sie jetzt ein SEO-Audit durch oder prüfen Sie Ihre Traffic-Qualität — keine Registrierung erforderlich.