Vault
WebSocket Origin Validation
WebSockets sind oft die unbewachte Hintertür: „läuft“ bedeutet nicht „gebunden“. Wenn Origin/Token-Binding fehlt, kann eine fremde Seite Requests im Kontext deines Users/Servers triggern.
Minimum Baseline
- Erlaube nur bekannte Origins (keine Wildcards)
- Authentifiziere beim Upgrade (nicht erst danach)
- Token kurzlebig & scope-limited
- Rate Limit + Auth-Fail Alerts
Praktischer Check
Wenn du irgendwo Access-Control-Allow-Origin: * oder „accept all origins“ siehst: stopp. Das ist (je nach Kontext) ein Einfallstor.