Nicht alle Security-Header sind gleich aufwendig. X-Content-Type-Options: nosniff und Referrer-Policy sind echte Quick Wins: eine Zeile Serverkonfiguration, kein Risiko für bestehende Funktionen. HSTS (Strict-Transport-Security) folgt direkt danach – aber starte mit kurzer max-age und erhöhe sie erst, wenn sicher ist, dass alle Subdomains dauerhaft über HTTPS laufen.
Die Content-Security-Policy ist der wirkungsvollste und zugleich heikelste Header. Übernimm niemals eine fremde CSP per Copy & Paste – jede Website lädt andere Skripte, Fonts und Bilder. Der sichere Weg: zunächst Content-Security-Policy-Report-Only ausliefern, die gemeldeten Verstöße auswerten und erst dann scharf schalten. So bricht garantiert kein Consent-Banner, Chart oder Embed.
Wichtig für die Einordnung: Fehlende Header bedeuten nicht, dass eine Website unsicher ist – sie bedeuten, dass eine zusätzliche Verteidigungslinie fehlt. Umgekehrt ersetzt kein Header sauberen Code. Die Header-Analyse zeigt dir die Härtungsschicht, nicht die Anwendungssicherheit.
