Warum zeigt meine Website «nicht sicher», und was sind Sicherheits-Header?
«Nicht sicher» in der Adresszeile heisst, dass die Seite, oder etwas darauf, unverschlüsselt übertragen wird. Jeder im selben Netz kann sie unterwegs mitlesen oder verändern. Sicherheits-Header sind etwas anderes: fünf kurze Anweisungen, die Ihr Server mitschicken kann und die Browsern sagen, wie sie Ihre Besucher schützen sollen. Den meisten Websites fehlen einige davon.
Woher der Check das weiss
Er ruft Ihre Website über https auf und schaut, ob sie antwortet. Dann ruft er die http-Adresse auf und schaut, ob sie auf die sichere weiterleitet, was sie sollte. Auf einer sicheren Seite sucht er nach Bildern, Skripten oder Stilen, die noch über http geladen werden, was Browser gemischte Inhalte nennen. Und er liest die Header, die mit der Seite zurückkamen, um zu sehen, welche der fünf üblichen vorhanden sind.
Was die einzelnen Ergebnisse bedeuten
Keine sichere Version. Die Website funktioniert nur über http. Browser markieren sie, Suchmaschinen stufen sie tiefer ein, und Formulare übertragen Eingaben im Klartext. Ein Zertifikat gibt es heute bei jedem ernsthaften Hoster kostenlos.
Die unsichere Version ist noch offen. Https funktioniert, aber wer die Adresse ohne eingibt, sieht die unsichere Website statt weitergeleitet zu werden. Alte Links und Lesezeichen führen weiterhin dorthin.
Unsichere Dateien auf einer sicheren Seite. Meist ein Bild oder ein Skript mit einer alten http-Adresse, übrig aus der Zeit vor dem Zertifikat. Browser blockieren die Skripte und blenden die Bilder unter Umständen aus.
Fehlende Sicherheits-Header. Jeder schliesst einen bekannten Trick: immer die sichere Verbindung verwenden, Skripte nur von erwarteten Quellen ausführen, Dateitypen nicht erraten, die Website nicht in fremde Seiten einbetten lassen, die Herkunftsseite nicht preisgeben. Keiner davon verändert, wie die Website aussieht.
Was Sie selbst tun können
Haben Sie kein Zertifikat, bietet das Kontrollpanel Ihres Hosters fast sicher eine Ein-Klick-Option. Viele Hoster haben auch einen Schalter «https erzwingen», der die Weiterleitung regelt. Bei gemischten Inhalten suchen Sie in Ihren Inhalten nach Adressen, die mit http:// beginnen, und ändern sie auf https://.
Wann es eine Aufgabe für einen Entwickler ist
Die Header. Es sind ein paar Zeilen in der Serverkonfiguration, aber eine falsche Content Security Policy kann Teile der Website unbemerkt lahmlegen, also braucht es jemanden, der das testet. Meist ist es eine Stunde Arbeit, und sie macht einen echten Unterschied dafür, wie angreifbar die Website ist.