HTTP Security Header - x-xss-protection

XSS-Angriffe sind eine Art von Sicherheitsbedrohung, bei der bösartiger Code in eine Web-Seite eingefügt wird, um Benutzer zu schädigen oder zu betrügen.

Der X-XSS-Protection Header gibt an, wie der Browser mit möglichen XSS-Angriffen umgehen soll. Es gibt vier mögliche Werte für diesen Header:

• “0”: Der Header deaktiviert den XSS-Filter des Browsers.
• “1”: Der Header aktiviert den XSS-Filter des Browsers und blockiert die Ausführung von XSS-Code.
• “1; mode=block”: Dies ist der gleiche Wert wie “1”, aber der Browser zeigt auch eine Benachrichtigung an, wenn XSS-Code blockiert wurde.
• “1; report=”: Der Header aktiviert den XSS-Filter des Browsers und sendet Berichte über blockierte XSS-Angriffe an die angegebene URI.

Um den X-XSS-Protection Header in Apache hinzuzufügen, können Sie das Apache-Modul “mod_headers” verwenden und den Header wie folgt hinzufügen:

# Apache2 Konfiguration (auch für .htaccess Datei)
Header set X-XSS-Protection "1; mode=block"


# Variante für NGINX
add_header X-XSS-Protection "1; mode=block";

Der X-XSS-Protection Header ist wichtig, um die Sicherheit von Web-Anwendungen zu erhöhen, insbesondere, wenn sie Benutzereingaben verarbeiten oder dynamische Inhalte anzeigen. Es ist sicherzustellen, dass der Header richtig dem Anwendungsfall entsprechend konfiguriert ist, um mögliche XSS-Angriffe zu verhindern.

Externe Quellen
HTTP-Security-Header - Website-Sicherheit erhöhen