HTTP-Security-Header - Entwicklungsportal und Docusaurus-Instanzen

Warum?

Um die IT-Sicherheit von Entwicklungsportal und Docusaurus-Instanzen zu verbessern, sollten einige HTTP-Header gesetzt werden.

Relevante Links und Bemerkungen

• Hintergrundinfos
  • CSP: https://infosec.mozilla.org/guidelines/web_security#content-security-policy
  • Referrer-Policy: https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Referrer-Policy
  • HSTS
• Scan-Results Entwicklungsportal: https://observatory.mozilla.org/analyze/docs.fitko.de https://developer.mozilla.org/en-US/observatory/analyze?host=docs.fitko.de

CSP: Es soll der folgende Header gesetzt werden:

Content-Security-Policy: default-src 'none'; frame-ancestors 'none'; upgrade-insecure-requests

Content-Security-Policy: default-src 'self'; form-action: 'self'; frame-ancestors 'none'; upgrade-insecure-requests

Akzeptanzkriterien

1. CSP-Header ist im Entwicklungsportal gesetzt
2. CSP-Header ist in allen Docusaurus-Instanzen gesetzt (siehe Liste der Instanzen unter https://git.fitko.de/fit-connect/docusaurus-template/-/wikis/home)
3. Referrer-Policy-Header ist im Entwicklungsportal gesetzt
4. Referrer-Policy-Header ist in allen Docusaurus-Instanzen gesetzt (siehe Liste der Instanzen unter https://git.fitko.de/fit-connect/docusaurus-template/-/wikis/home)
5. Falls Cookies genutzt werden: SameSite-Direktive ist im Entwicklungsportal gesetzt
6. Falls Cookies genutzt werden: SameSite-Direktive ist in allen Docusaurus-Instanzen gesetzt (siehe Liste der Instanzen unter https://git.fitko.de/fit-connect/docusaurus-template/-/wikis/home)
7. HTTP Header „Strict-Transport-Security“ (HSTS) ist im Entwicklungsportal gesetzt
8. HTTP Header „Strict-Transport-Security“ (HSTS) ist in allen Docusaurus-Instanzen gesetzt (siehe Liste der Instanzen unter https://git.fitko.de/fit-connect/docusaurus-template/-/wikis/home)
9. Das Entwicklungsportal wurde mit Test-Tools (-> Mozilla Observatory) getestet.
10. Die Docusaurus-Instanzen wurden mit Test-Tools (-> Mozilla Observatory) getestet.

Durchführungsplan

• ...
• ...
• ...