+APP.3.1.A21 Sichere HTTP-Konfiguration bei Webanwendungen (S)

APP.3.1.A21 Sichere HTTP-Konfiguration bei Webanwendungen (S)

Zum Schutz vor Clickjacking, Cross-Site-Scripting und anderen Angriffen SOLLTE der IT-Betrieb geeignete HTTP-Response-Header setzen. Dazu SOLLTEN mindestens die folgenden HTTP-Header verwendet werden:

  • Content-Security-Policy,
  • Strict-Transport-Security,
  • Content-Type,
  • X-Content-Type-Options sowie
  • Cache-Control.

Die verwendeten HTTP-Header SOLLTEN so restriktiv wie möglich sein.

Cookies SOLLTEN grundsätzlich mit den Attributen secure, SameSite und httponly gesetzt werden.

1. Przegląd

1.1 Odwołania

1.2 Zidentyfikowane wymagania

1.3 Powiązane regulacje

2. Zidentyfikowane wymagania

Wymagania

3. Powiązane regulacje

Regulacje

Powiązane zgłoszenia

Powiązania
blocks G 0.14 Ausspähen von Informationen (Spionage)
blocks G 0.23 Unbefugtes Eindringen in IT-Systeme