Was ist das hier?

CSP, HSTS, XFO, Referrer Policy – richtig. (Operator Guide für ClickHouse).

Schnell‑Triage (5 Minuten)

• Was ist exponiert (Ports, Admin, Webhooks, Origins, Buckets)?
• Sind gerade Anomalien sichtbar (Spikes, 4xx/5xx, Login‑Fehler, Bot‑Traffic)?
• Sind Secrets/Keys kompromittiert (Repo, CI, Logs, Chat)?

CSP Policies (strict vs. relaxed) – Nginx

# Strict (Prod)
add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; object-src 'none'; base-uri 'self'; frame-ancestors 'none'; upgrade-insecure-requests" always;
add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Content-Type-Options "nosniff" always;
add_header X-Frame-Options "DENY" always;

# Relaxed (Dev)
# add_header Content-Security-Policy "default-src 'self' 'unsafe-inline' 'unsafe-eval' data: https:" always;

# CSP Reports (optional)
# add_header Report-To '{"group":"csp-endpoint","max_age":10886400,"endpoints":[{"url":"https://csp-report.example.com/report"}]}' always;
# add_header Content-Security-Policy "...; report-to=csp-endpoint; report-uri=https://csp-report.example.com/report" always;

Validierung & Reload

# Nginx Config testen + neu laden
sudo nginx -t && sudo systemctl reload nginx

# Quick Test
curl -I https://your-domain | grep -Ei "content-security-policy|strict-transport-security|x-content-type-options|x-frame-options"

Fix‑Schritte (Copy/Paste‑fähig)

• HSTS aktivieren (nur wenn HTTPS überall stimmt).
• CSP erstmal report-only, dann enforce.
• X-Frame-Options / frame-ancestors setzen (Clickjacking).
• Referrer-Policy + Permissions-Policy setzen.
• Verifikation: curl -I + Browser DevTools console CSP reports.

Verifikation

curl -I https://deine-domain.tld
curl -sS https://deine-domain.tld/health || true

Prävention / Guardrails

• Least privilege
• Logs + Alerts
• Rollback/Deploy-Disziplin

Warnungen

• Änderungen klein halten, verifizieren, dann weiter.

Was andere Tools nicht sagen

Die meisten Guides zeigen nur den Happy Path. Was wirklich wichtig ist: CSP, HSTS, XFO, Referrer Policy – richtig. (Operator Guide für ClickHouse). – aber erst nach einem erfolgreichen Smoke Test zählt es als erledigt. Viele Admins vergessen den Rollback-Plan und das Monitoring nach dem Change.

• Defaults allein reichen nicht – ohne Verifikation ist jeder Fix unvollständig.
• Externe Scantools sehen oft nicht den Unterschied zwischen 'konfiguriert' und 'wirksam'.
• Incident-Postmortems zeigen: 60% der Rückfälle entstehen durch fehlende Guardrails, nicht durch falschen Fix.