Hallo ihr Lieben,
ich sehe mir das Thema CSP und Joomla 4 an. Ich scheitere schon beim ersten Header.
Ich möchte HTTP Header X-Frame-Options = deny aktivieren und stelle das im Plugin so ein:
Nun erwarte ich, dass zwischen <head> und </head> ein Eintrag erscheint. Das ist aber nicht so. Wie kann ich überprüfen, dass meine Einstellung übernommen wird und ein HTTP-Header gesetzt wird?
Nutze beispielsweise F12 im Firefox, dann im Netzwerktab oder unter "Konsole" die Kopfzeilen anschauen!
Das schaut dann so aus:
Alternativ ein Online-Tool nutzen! Da gibt es etliche, z.B. securityheaders.com
EDIT: Ich würde allerdings für X-Frame-Options da besser "sameorigin" empfehlen!
Wegen Zeitüberschreitung:
Beachte auch die Zeichen '.......' bei den Werten. Kann sein, dass das nicht funktioniert, wenn die nicht angegeben werden.
Also 'deny' , 'sameorigin' usw.
Ich kann mir den Quelltext ansehen. Hier finde ich keinen neuen Eintrag.
Ist korrekt. (Kommt drauf an, wie die Header realisiert werden).
Welchen Browser nutzt du denn überhaupt? (bzgl. F12)
EDIT:
Bzgl. Anleitung: Hier findest du Infos zum Plugin, wenn du es in J3 einsetzt. Ähnlich sicherlich auch in J4:
https://www.hosteurope.de/blog…t-http-headern-schuetzen/
Ansonsten könntest du das auch alles über die .htaccess setzen. Bei CSP sind dann bestimmte Werte mit '...' anzugeben, wie z.B. 'deny' oder ähnliches. Z B.
Header always set Content-Security-Policy "default-src 'none'; connect-src 'self' .... "
Kann sein, dass das beim X-Frame-Options noch nicht verwendet werden muss.
Hm. Bei mir klappt das nicht. F12 ist nicht belegt. Ich verstehe nicht, was du mit '.......' meinst.
Finde heraus, wie du die Entwicklertools öffnest. Falls du Firefox nutzt, hilft dir die Übersicht sicher: Tastaturkürzel - Firefox Tools für Webentwickler | MDN (mozilla.org)
Wenn du dann die Netzwerkanalyse öffnest, die Seite neu lädst und danach links den Host anklickst, werden dir in der Regel die HTTP Kopfdaten rechts angezeigt.
Hier siehst du ein Bild unmittelbar nach der Installation von Joomla 4. Rechts erkennst du die X-Frame-Options, die mit SAMEORGIN belegt sind. Falls du DENY einstellst und es Probleme gibt - ich glaube der Media Manager benötigt das.
Ich kann mir den Quelltext ansehen. Hier finde ich keinen neuen Eintrag.
Meinst du den HTML-Header <meta http-equiv=? Der ist nur ein Behelf. Joomla setzt sofort den richtigen HTTP-Header
Alles anzeigen
Ja, die Komponente wird es höchstwahrscheinlich leider nicht in Joomla 4 schaffen. Aber das Plugin für die HTTP Header ist noch da!
