Bemerken, wenn ein schützender Header Ihrer Website fehlt

Security-Header gehen leicht verloren. Oft werden sie an einer einzigen Stelle gesetzt – einem Reverse Proxy, einer CDN-Regel, einer Middleware im Framework –, und wenn sich diese Stelle ändert und sie fehlen, fällt niemandem etwas auf. Die Website sieht aus und funktioniert wie vorher; nur der Schutz gegen Clickjacking, gemischte Inhalte oder Cross-Site-Scripting ist unbemerkt verschwunden. Ein Scanner, der einmal im Jahr läuft, findet das irgendwann.

Pingsured prüft die Header bei jedem Durchlauf.

Was Sie prüfen sollten

Header-Prüfungen lesen nur die Header der Antwort, nicht den Inhalt, und können deshalb auf demselben Ping liegen wie Ihre Uptime-Prüfung:

Header	Operator	Wert
`Content-Security-Policy`	enthält	`frame-ancestors`
`Strict-Transport-Security`	passt auf	`max-age=\d{8,}`
`X-Content-Type-Options`	gleich	`nosniff`
`Referrer-Policy`	vorhanden
`Server`	nicht vorhanden

Die HSTS-Zeile besteht bei einem max-age mit mindestens acht Ziffern – also mindestens 10.000.000 Sekunden, rund vier Monate –, sodass ein auf wenige Minuten gekürzter Header auffällt. Die genaue Länge beurteilt die TLS-Prüfung (siehe unten). Die letzte Zeile ist der umgekehrte Fall: ein Header, der nicht da sein sollte, etwa eine Versionsangabe, die ein neues Server-Image zurückgebracht hat.

Zusammen mit der TLS-Prüfung

Eine TLS-Prüfung auf demselben Host deckt einmal am Tag die andere Hälfte ab: ob HSTS nach den Richtlinien von Mozilla lang genug ist, ob Port 80 auf HTTPS weiterleitet und ob Cookies das Secure-Attribut tragen. Die Header-Prüfungen auf einem HTTP-Ping ergänzen die Header Ihrer Wahl, im Intervall Ihrer Wahl.

Warum Sie Security-Header mit Pingsured prüfen sollten

Bei jedem Durchlauf, nicht einmal im Jahr. Ein Header, der bei einem Deployment verloren geht, wird innerhalb von Minuten gemeldet, nicht erst beim nächsten Penetrationstest.
Die Header, die Ihnen wichtig sind. Exakte Werte, Teilzeichenketten, reguläre Ausdrücke oder bloßes Vorhandensein, bis zu 16 Header-Prüfungen pro Ping.
Jeder Standort für sich. Header, die ein CDN setzt, können sich zwischen CDN-Knoten unterscheiden; eine Prüfung von mehreren Standorten zeigt, wo einer fehlt.
Seit wann, nicht nur ob. Der Verlauf des Pings zeigt, wann ein Header verschwunden ist und an welchem Standort.

Grenzen, die Sie kennen sollten

Eine Header-Prüfung beurteilt die Antwort der URL, die Sie einrichten. Seiten, die eine andere Anwendung ausliefert – ein Shop, ein Hilfe-Center auf einem eigenen System –, brauchen einen eigenen Ping.
Header-Werte werden verglichen, nicht interpretiert: Eine Prüfung bestätigt, dass eine CSP frame-ancestors enthält, nicht dass die Richtlinie gut ist.