X-Content-Type-Options fehlt – wenn der Browser rät

Der Header X-Content-Type-Options: nosniff verbietet dem Browser, den Typ einer Datei selbst zu erraten. Ohne ihn kann eine harmlos aussehende Datei plötzlich als Skript ausgeführt werden.

Was „Raten" hier heißt

Jede Datei wird mit einer Typangabe ausgeliefert – Bild, Text, Skript. Stimmt diese Angabe nicht mit dem Inhalt überein, versuchen Browser traditionell, den wahren Typ aus den ersten Bytes zu erschließen. Das war einmal hilfreich, als Server schlecht konfiguriert waren. Heute ist es eine Lücke: Eine als Bild hochgeladene Datei, die in Wahrheit JavaScript enthält, kann so zur Ausführung kommen.

Wen es betrifft

Vor allem Seiten, auf denen Besucher Dateien hochladen können – Bewerbungsportale, Bildergalerien, Foren, Kommentarbereiche mit Anhängen. Aber der Header kostet nichts und schadet nie, deshalb gehört er auf jede Seite.

So setzen Sie ihn

In Apache:

Header always set X-Content-Type-Options "nosniff"

In nginx:

add_header X-Content-Type-Options "nosniff" always;

Es gibt genau einen gültigen Wert: nosniff.

Was Sie danach prüfen sollten

Wenn der Browser nicht mehr rät, müssen Ihre Typangaben stimmen. Nach dem Setzen also einmal durch die Seite klicken: Bleiben Stile aus oder laden Skripte nicht mehr, liefert Ihr Server sie mit falscher Typangabe aus – dann liegt der Fehler dort und war vorher nur überdeckt.

Häufige Fragen

Was bewirkt nosniff?

Der Browser hält sich strikt an die vom Server gemeldete Typangabe einer Datei, statt den Typ aus dem Inhalt zu erraten.

Weitere Befunde aus dem Bereich Sicherheit

← Alle Befunde im Überblick