APP.3.1.A21 Sichere HTTP-Konfiguration bei Webanwendungen (S)

Zum Schutz vor Clickjacking, Cross-Site-Scripting und anderen Angriffen SOLLTE der IT-Betrieb geeignete HTTP-Response-Header setzen. Dazu SOLLTEN mindestens die folgenden HTTP-Header verwendet werden:

• Content-Security-Policy,
• Strict-Transport-Security,
• Content-Type,
• X-Content-Type-Options sowie
• Cache-Control.

Die verwendeten HTTP-Header SOLLTEN so restriktiv wie möglich sein.

Cookies SOLLTEN grundsätzlich mit den Attributen secure, SameSite und httponly gesetzt werden.

1. Přehled

1.1 Odkazy

• KONF.12.1.2 Content Security Policy (CSP)
• KONF.12.1.5 HTTP Strict Transport Security (HSTS)
• KONF.12.1.10 HTTP-Response-Header

1.2 Identifikované požadavky

1.3 Související regulace

2. Identifikované požadavky

3. Související regulace

Propojené úkoly

• BSI_DE -

  Copyright by Bundesamt für Sicherheit in der Informationstechnik (https://www.bsi.bund.de/)