Sicherheitsheader

Warum es für WordPress wichtig ist

Header patchen kein anfälliges Plugin. Sie senken trotzdem gängige Risiken auf Browserseite: HTTPS erzwingen (HSTS), einfaches Clickjacking blockieren, enger stellen, welche Skripte laufen dürfen, wenn Sie CSP vorsichtig nutzen. Viele Hoster und CDNs können sie schicken, ohne einen Plugin-Stapel.

So zeigt es sich in der Praxis

• Strict-Transport-Security auf einer HTTPS-Website
• X-Frame-Options oder frame-ancestors, die begrenzen, wer Sie in einen Frame setzen darf
• Content-Security-Policy, die einen Page Builder bricht, wenn sie am ersten Tag zu eng ist
• Checklisten von Sicherheitstests, die fehlende Header in Produktion markieren

Was Sie tun sollten

1. Schließen Sie HTTPS sauber ab, bevor Sie HSTS mit langem max-age einschalten.
2. Beginnen Sie mit einfachem Frame-Schutz, dann erwägen Sie CSP, sobald Sie das Frontend testen können.
3. Bevorzugen Sie die Konfiguration am Host oder CDN, wenn Sie können. Weniger bewegliche Teile in WordPress.
4. Testen Sie Checkout, Einbettungen und Admin nach jeder Header-Änderung erneut.
5. Für die Einrichtung in WP Security Ninja siehe Sicherheitsheader im Plugin.