Web-App-Sicherheit, verständlich erklärt

Content-Security-Policy (CSP): was sie ist und wie du eine hinzufügst

Der Header, der verhindert, dass eingeschleuste Skripte ausgeführt werden.

HTTP Strict Transport Security (HSTS) erklärt

Erzwinge, dass jede Verbindung HTTPS nutzt — sogar die erste.

Clickjacking und X-Frame-Options: halte deine Seiten aus iframes heraus

Ein Header hindert Angreifer daran, deine App in einem iframe zu überlagern.

Fehlkonfigurationen

Offengelegte .env-Dateien: wie Angreifer deine Secrets finden

Eine einzige erreichbare .env kann deinen gesamten Stack preisgeben.

CORS-Fehlkonfiguration: die Wildcard- und Reflection-Fallen

Erlaube jeden Origin und jede Website kann deine API lesen.

Source Maps in der Produktion leaken deinen Quellcode

Ausgelieferte .map-Dateien geben deinen originalen Quellcode preis.

Offenes .git-Verzeichnis: das Quellcode-Leck, das sich gut sichtbar versteckt

Ein erreichbares /.git liefert deine komplette Codebasis samt Commit-Historie aus.

Offene Datenbank-Backups: was passiert, wenn /backup.sql erreichbar ist

Ein erreichbarer .sql-Dump ist die komplette Übergabe deiner gesamten Datenbank.

Offengelegte Secrets

API-Keys, die in clientseitigem JavaScript offengelegt sind

Alles in deinem Bundle ist öffentlich. Behandle es entsprechend.

DNS- & E-Mail-Sicherheit

Subdomain-Takeover: wie er passiert und wie du ihn verhinderst

Ein hängendes CNAME ist eine offene Tür auf deiner Domain.

SPF und DMARC: stoppe E-Mail-Spoofing deiner Domain

Hindere Angreifer daran, in deinem Namen an alle zu mailen.

Cookie-Sicherheit

Die Cookie-Flags Secure, HttpOnly und SameSite

Drei Flags, die verhindern, dass Session-Cookies gestohlen werden.

Weiterleitungskette

Warum deine Website eine Weiterleitung von HTTP zu HTTPS braucht

Lass die unsichere Tür nicht offen.

Datenbanksicherheit

Supabase Row Level Security (RLS): sichere deine Tabellen ab

Dein anon key ist öffentlich. RLS ist das Einzige, was zwischen ihm und deinen Daten steht.

Firebase Security Rules: lass deine Datenbank nicht offen

Deine Firebase-Config ist absichtlich öffentlich. Deine Rules entscheiden, wer die Daten sieht.

Sicherheits-Header

MIME-Sniffing und X-Content-Type-Options: nosniff erklärt

Ein Header verhindert, dass Browser Content-Typen erraten und Uploads als Skripte ausführen.

Datei-, Pfad- & Ressourcen-Handling

Offene Verzeichnis-Indizes: wenn dein Dateiserver alles auflistet

Ein Dateiserver, der seinen Inhalt auflistet, liefert Angreifern ein kostenloses Inventar.

Fehlerbehandlung & Resilienz

Ausführliche Fehlerseiten und Stack Traces in Produktion

Ein Stack Trace zeigt Angreifern genau, wohin sie zielen müssen.

API-Sicherheit

Öffentliche GraphQL-Introspection: warum sie ein Problem ist und wie du sie abschaltest

Eine einzige Query liefert dein komplettes Schema. Schalte sie in Produktion ab.

HTTP-Protokoll & serverseitige Anfragen