Beilage · akrause.de
Gegenprobe
Diese Seite sagt einiges über sich: keine Anfragen an fremde Server, keine Cookies, keine Tracker. Die Spalte „Befund“ hat Ihr Browser beim Aufruf selbst gemessen.
Ohne JavaScript misst diese Seite nichts. Zusagen und Prüfwege stehen trotzdem vollständig in der Tabelle.
| Zusage | Befund | Selbst prüfen |
|---|---|---|
| Alle Anfragen dieser Seite gehen an den eigenen Server. Keine Skripte, Schriften oder Bilder von Dritten. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Entwicklerwerkzeuge öffnen (F12, in Safari: Entwickler › Webinformationen einblenden), Reiter Netzwerk, Seite neu laden. In der Spalte Domain steht nur akrause.de. |
| Keine Analyse- und Tracking-Dienste. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | In der Konsole typeof gtag oder window.dataLayer eingeben. Beides ergibt undefined. |
| Keine Cookies. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/ | grep -i set-cookie gibt nichts aus. Im Browser: Reiter Anwendung bzw. Speicher, Abschnitt Cookies. |
Im Browser speichert die Seite höchstens zwei Einstellungen: Sprache (lang) und Hell/Dunkel (theme), und erst, wenn Sie umschalten oder die englische Fassung aufrufen. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Reiter Anwendung (Chrome) bzw. Speicher (Firefox, Safari), Abschnitt Lokaler Speicher und Sitzungsspeicher. |
| Die Schrift (Hanken Grotesk) liegt auf dem eigenen Server, nicht bei Google Fonts oder einem anderen Dienst. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Reiter Netzwerk, Filter Schrift bzw. Font: nur .woff2-Dateien von akrause.de. |
| Nur verschlüsselte Verbindungen (HTTPS). | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI http://akrause.de/ antwortet mit einer Weiterleitung auf https://. Die Protokollversion zeigt der Netzwerk-Reiter in der Spalte Protokoll. |
| Der Browser führt nur Skripte und Stile aus Dateien dieser Seite aus. Eingeschleuster Code im HTML läuft nicht. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Die Gegenprobe versucht, ein Skript ohne Datei und einen Inline-Stil einzufügen. Die Konsole meldet dazu je einen Verstoß gegen die Content Security Policy. |
Der einzige Service Worker ist der eigene (/sw.js). Er hält eine Kopie der Seite für den Offline-Betrieb. | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Reiter Anwendung, Abschnitt Service Worker und Cache-Speicher (in Safari: Entwickler › Service Worker). Der Cache heißt akrause-v…. |
| Sicherheitslücken lassen sich über /.well-known/security.txt melden (RFC 9116). | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | Datei im Browser öffnen oder curl -s https://akrause.de/.well-known/security.txt. Das Feld Expires liegt in der Zukunft, Policy verweist auf den Abschnitt Sicherheitslücken melden. |
Sicherheits-Header
Der Server schickt mit jeder Seite Anweisungen an den Browser mit. Ihr Browser hat diese Seite eben noch einmal abgerufen und die Header mitgelesen.
| Zusage | Befund | Selbst prüfen |
|---|---|---|
Content-Security-PolicyAlles kommt nur vom eigenen Ursprung, nichts inline.Erwartet: default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; font-src 'self'; connect-src 'self'; frame-ancestors 'none'; base-uri 'self'; form-action 'self' | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i content-security-policy, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
Strict-Transport-SecurityEin Jahr lang verbindet sich Ihr Browser nur noch per HTTPS.Erwartet: max-age=31536000; includeSubDomains; preload | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i strict-transport, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
X-Frame-OptionsKeine fremde Seite darf diese Seite einbetten.Erwartet: DENY | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i x-frame, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
Referrer-PolicyWer einem Link nach außen folgt, nimmt nur den Domainnamen mit, nicht die Adresse der Unterseite.Erwartet: strict-origin-when-cross-origin | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i referrer-policy, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
Permissions-PolicyKamera, Mikrofon, Standort, Zahlungen und USB sind für diese Seite abgeschaltet.Erwartet: camera=(), microphone=(), geolocation=(), payment=(), usb=(), interest-cohort=() | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i permissions-policy, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
X-Content-Type-OptionsDer Browser rät keine Dateitypen.Erwartet: nosniff | Ohne JavaScript nicht gemessen. Der Prüfweg steht unter „Selbst prüfen“. | curl -sI https://akrause.de/gegenprobe.html | grep -i x-content-type, oder im Netzwerk-Reiter das Dokument wählen, Antwort-Header. |
Was Ihr Browser nicht sehen kann
Die Messung endet an der Grenze Ihres Browsers. Was auf dem Server mit einem Aufruf geschieht, kann sie nicht zeigen. Die Konfiguration des Webservers dieser Seite schreibt keine Zugriffsprotokolle (access_log off), es werden also weder IP-Adresse noch aufgerufene Adresse mitgeschrieben. Davor läuft allerdings ein Reverse-Proxy, der zum Schutz vor Angriffen jeden Zugriff mit IP-Adresse protokolliert. Diese Protokolle werden nach sieben Tagen gelöscht. Der Browser kann das nicht prüfen. Einzelheiten stehen in der Datenschutzerklärung unter „Hosting“.
Ebenso wenig sieht die Messung, was mit einer E-Mail geschieht, die Sie mir schreiben, oder ob der Server anderen Besuchern dieselben Dateien ausliefert. Erweiterungen in Ihrem Browser können eigene Anfragen stellen, die hier mitgezählt werden. Die Gegenprobe gilt für diesen einen Aufruf in diesem Browser.
Sicherheitslücken melden
Wenn Sie auf dieser Website eine Sicherheitslücke finden, schreiben Sie mir an contact@akrause.de, auf Deutsch oder Englisch. Am meisten helfen mir die betroffene Adresse und eine kurze Beschreibung, wie sich das Problem nachstellen lässt. In der Regel antworte ich innerhalb von 24 Stunden. Ein Bug-Bounty-Programm gibt es nicht.
Dieselbe Adresse steht maschinenlesbar in /.well-known/security.txt.
So lege ich auch Sicherheitskonzepte an: als Zusagen, die sich nachmessen lassen.