Plugin Sec-Header_XH
Dieses Plugin hilft bei der Einrichtung der verschiedenen Header-Anweisungen (Security Header), die im HTTP-Protokoll enthalten sind, und ermöglicht so eine Verbesserung der Sicherheit für die Besucher einer Website.
Nicht alle Einstellungen und Optionen werden von allen Browsern unterstützt.
Die Konfigurationsmöglichkeiten dieser Erweiterung sind teilweise so variabel, dass es nur bei wenigen möglich ist, wählbare Vorgaben bereitzustellen. Das Thema ist recht komplex und benötigt eine gewisse Einarbeitung.
Mit der ausgelieferte Standardeinstellung sollte CMSimple_XH aber problemlos funktionieren.
Referrer-Policy
Steuert, wie viele Referrer-Informationen (die über den Referer-Header gesendet werden) in der nächsten Anfrage enthalten sein soll.
X-Content-Type-Options
Nur korrekte Styles und Scripte werden geladen. Unterbindet das „Erraten“ des Dateityps durch den Browser.
Content Security Policy
Es werden nur Dateien aus explizit erlaubten Quellen geladen.
Für script-src und style-src werden Nonces unterstützt.
Dazu darf bei diesen beiden in der Konfiguartion 'unsafe-inline' nicht gesetzt sein.
Die Scripte müssen dann entsprechend mit Nonce eingebunden werden.
Der aktuelle Wert kann über die Funktion sh_cspHeaderNonce() abgerufen werden.
Diese Funktion ist für alle Plugins und Templates verfügbar.
Das Einbinden ist anhand eines Templates in der Hilfe erläutert.
Permissions-Policy
Verhindert bzw. steuert beispielsweise die Nutzung von Webcams, Mikrofonen oder Sensoren auf der Seite.
- Permissions-Policy – www.w3.org
- Permissions-Policy – developer.mozilla.org
- Permissions-Policy – caniuse.com
- Google FLoC
COEP CORP COOP
- COEP CORP COOP
- Cross-Origin-Embedder-Policy – developer.mozilla.org
- Cross-Origin Resource Policy – developer.mozilla.org
- Cross-Origin-Opener-Policy – developer.mozilla.org
Benutzerdefiniert Header
Pro Zeile einen vollständigen Header eintragen.
Beispielsweise:
- X-XSS-Protection: 1; mode=block
X-XSS-Protection - X-Permitted-Cross-Domain-Policies: none
X-Permitted-Cross-Domain-Policies
Installation
PHP ab Version 7.4
(Sie sollten min. Version 8.1 einsetzen! Stand 07/2025)
Für CMSimple_XH Versionen ab 1.7.3.
Um das Plugin zu installieren, einfach den entpackten Ordner sec_header in den Pluginordner laden.
Fragen, Hinweise, Fehlermeldungen zu Sec-Header_XH
Sec-Header_XH im CMSimple_XH Forum
Sec-Header_XH kann unter Einhaltung der GPLv3 verwendet werden.
Version 1.1 für CMSimple_XH Versionen ab 1.7.3
Softwareentwicklung ist teilweise sehr aufwendig und findet, für jede hier angebotene Software, in meiner Freizeit statt. Daher freue ich mich über jede Unterstützung. Zum Teil wird damit z.B. einfach diese Website finanziert. Außerdem bringt eine kleine Anerkennung zwischendurch immer wieder etwas Schwung in die Entwicklung.