Sicherheit: Content-Security-Policy (CSP) Header implementieren #41

New Issue

greggy · 2026-05-19T15:42:28+02:00

greggy commented

2026-05-19 15:42:28 +02:00

Schwachstelle #9 – Kein CSP-Header

Die Seite hat keinen Content-Security-Policy-Header. Für eine statische Landingpage wäre ein strikter CSP einfach umsetzbar und würde XSS-Risiken weiter reduzieren.

Empfehlung

Strikten CSP-Header setzen, z.B.:

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; frame-src https://www.google.com/maps/; connect-src 'self'

Umsetzung

CSP-Header in index.php (oder nginx-Konfiguration) setzen
Testen dass alle Ressourcen (Fonts, Bilder, Maps-iframe) korrekt geladen werden
Falls nötig unsafe-inline für Styles vermeiden (NONCE oder HASH)

Priorität

🟡 Niedrig – aber einfach umsetzbar und gute Best Practice

## Schwachstelle #9 – Kein CSP-Header Die Seite hat keinen `Content-Security-Policy`-Header. Für eine statische Landingpage wäre ein strikter CSP einfach umsetzbar und würde XSS-Risiken weiter reduzieren. ### Empfehlung Strikten CSP-Header setzen, z.B.: ``` Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; frame-src https://www.google.com/maps/; connect-src 'self' ``` ### Umsetzung - CSP-Header in `index.php` (oder nginx-Konfiguration) setzen - Testen dass alle Ressourcen (Fonts, Bilder, Maps-iframe) korrekt geladen werden - Falls nötig `unsafe-inline` für Styles vermeiden (_NONCE_ oder _HASH_) ### Priorität 🟡 Niedrig – aber einfach umsetzbar und gute Best Practice

greggy added the

KI

label 2026-05-19 15:42:28 +02:00

greggy added the

KI

label 2026-05-22 01:03:19 +02:00

greggy commented

2026-05-22 01:03:31 +02:00

Phase 1: Analyse abgeschlossen ✅

Komplexität: S (Small)

Spezifikation

CSP-Header via .htaccess setzen:

Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; frame-src https://www.google.com/ https://www.google.de/; connect-src 'self'

unsafe-inline für styles wird vorerst benötigt (inline style-Attribute in Views).

Akzeptanzkriterien

CSP-Header in jeder Response
Alle Ressourcen laden korrekt
Google Maps iframe funktioniert
Keine CSP-Verletzungen in Browser-Console

Status: ReadyForDev → Weiter zu Phase 2 (Implementierung)

## Phase 1: Analyse abgeschlossen ✅ **Komplexität: S (Small)** ### Spezifikation CSP-Header via `.htaccess` setzen: ``` Content-Security-Policy: default-src 'self'; script-src 'self'; style-src 'self' 'unsafe-inline'; img-src 'self' data:; font-src 'self'; frame-src https://www.google.com/ https://www.google.de/; connect-src 'self' ``` **`unsafe-inline` für styles** wird vorerst benötigt (inline style-Attribute in Views). ### Akzeptanzkriterien - [x] CSP-Header in jeder Response - [ ] Alle Ressourcen laden korrekt - [ ] Google Maps iframe funktioniert - [ ] Keine CSP-Verletzungen in Browser-Console **Status: ReadyForDev** → Weiter zu Phase 2 (Implementierung)

greggy referenced this issue from a commit

2026-05-22 01:04:59 +02:00

fix(security): add CSP and security headers via .htaccess (#41)

greggy referenced a pull request that will close this issue

2026-05-22 01:07:24 +02:00

Fix #41: CSP und Security Headers implementieren #49

greggy closed this issue

2026-05-22 08:34:35 +02:00

greggy referenced this issue from a commit

2026-05-22 08:34:35 +02:00

Merge pull request 'Fix #41: CSP und Security Headers implementieren' (#49) from feature/issue-41-csp-header into main

Sign in to join this conversation.