Neu Observatory Sicherheitsprüfung für Webseiten

[die-andis]

Guten Morgen,

am Wochenende wurde ja Observatory (von Mozilla, https://mozilla.github.io/http-observatory-website/) veröffentlicht.

Bei der Prüfung über das Tool habe ich ein "C+" 60 von 100 Punkten erreicht.

Folgende Prüfungen schlagen noch mit einem Fehler zu:

- Content Security Policy (CSP) header not implemented
- Subresource Integrity (SRI) not implemented, but all external scripts are loaded over https
- Redirection - Redirects to https eventually, but initial redirection is to another http URL
- HTTP Public Key Pinning (HPKP) header not implemented

Habt ihr da für den JTL- Shop schon irgendwelche Erfahrungen oder Tipps?

Gruß
Andreas

 

[FMoche]

Naja, die jeweiligen Schritte sind ja nicht Shop-spezifisch.
Ein A- sollte sich da relativ leicht erreichen lassen - in einem meiner Testshops hab ich das mal umgesetzt:

https://mozilla.github.io/http-observatory-website/analyze.html?host=shop3-php54.jtl-software.de

Der Teil mit der Content Security Policy ist allerdings utopisch. Dazu gibt es im Shop zu viele und zu dynamische Inline-Scripte.
Und anzumerken wäre auch, dass das SSL-Einstellungen sicherlich nicht für einen Shop, der ein möglichst breites Publikum ansprechen soll zu empfehlen sind.

 

[Diedrichs]

@die-andis

DA hast Du schon mehr erreicht als ich!

 

[liquid]

Habs auch gerade mal getestet, da kam ganz schöner Müll bei rum. Das Tool ist wohl noch ziemlich buggy ...