Joomla und die Content Security Policy (CSP)

Einer meiner Kunden hat ein Mozilla-Tool verwendet, um seine Webseite einem Sicherheitstest zu unterziehen. Nun fordert er mich auf, die bestehenden Sicherheitslücken zu stopfen:

Es gibt zwar das Plugin «System – HTTP Header» wo man etliche Einstellungen vornehmen kann. Allerdings gibt es auch Warnungen, dass man mit falschen Einstellungen seine Webseite schrotten könne. Eine kurze Recherche hat gezeigt, dass alle getesteten Webseiten (auch solche, die nicht von mir sind, auch Wordpress-Webseiten) diese angebliche «Sicherheitslücke» aufweisen.

Das Thema scheint ausserordentlich komplex zu sein. Wollen wir das auf die Traktandenliste unserer geplanten Weiterbildungsveranstaltung setzen? Ein Laie hat die Erwartung, dass ein CMS alle Einstellungen per default auf dem höchsten Sicherheitslevel hat. Aber wie gesagt: es ist sohl komplex.

Ich würde das jetzt nicht als Sicherheitslücke benennen.
eher zus. Sicherheitskonfigurationen.

Es gibt da auch diesen Scanner: securityheaders.com/

Das Plugin kam ja mit jommla 4. Damals hatte mich mal intensiver mit dem Thema auseinander mit dem Ziel die Kriterien erfüllen zu können. Hab's jedenfalls nicht geschafft


Es gibt auch ein Video von einem Joomladay über das Thema:
Vielleicht bringt Dich das weiter...

Ich denke mit den Standardkonfig. indem man das Plugin aktiviert (wird ja auch empfohlen nach einer J3-j4 migration) ist man schon gut bedient.