LIVE Intel Feed•21.639 exponierte Instanzen•128.457 Checks•93.4% Auth-Bypass Risiko•Update: Feb 2026Keine Speicherung deiner Eingaben
ClawGuru
Institutional Ops Intelligence
NotfallPro Kits
Runbook

Security Headers & CSP auf AWS

CSP, HSTS, XFO, Referrer Policy – richtig. (Operator Guide für AWS).

Was ist das hier?

CSP, HSTS, XFO, Referrer Policy – richtig. (Operator Guide für AWS).

Priorität
Wenn Production betroffen ist: Containment zuerst (Stop the bleeding), dann Root Cause.

Schnell‑Triage (5 Minuten)

  • Was ist exponiert (Ports, Admin, Webhooks, Origins, Buckets)?
  • Sind gerade Anomalien sichtbar (Spikes, 4xx/5xx, Login‑Fehler, Bot‑Traffic)?
  • Sind Secrets/Keys kompromittiert (Repo, CI, Logs, Chat)?
Ziel
Security Headers & CSP: CSP, HSTS, XFO, Referrer Policy – richtig.

Header Baseline (Nginx)

add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
add_header X-Frame-Options "DENY" always;
add_header X-Content-Type-Options "nosniff" always;
add_header Referrer-Policy "no-referrer" always;
# CSP erst report-only:
# add_header Content-Security-Policy-Report-Only "default-src 'self'; ..." always;

Fix‑Schritte (Copy/Paste‑fähig)

  • HSTS aktivieren (nur wenn HTTPS überall stimmt).
  • CSP erstmal report-only, dann enforce.
  • X-Frame-Options / frame-ancestors setzen (Clickjacking).
  • Referrer-Policy + Permissions-Policy setzen.
  • Verifikation: curl -I + Browser DevTools console CSP reports.

Verifikation

aws sts get-caller-identity
aws ec2 describe-security-groups --max-items 5
aws cloudtrail lookup-events --max-results 10

Prävention / Guardrails

  • CloudTrail aktiv + Alerts auf IAM-Key-Erstellung & Policy-Änderungen
  • Security Groups: default-deny, nur benötigte Ports/Quellen
  • Keys in Secrets Manager statt .env / Git

Warnungen

  • Keys zuerst rotieren, dann forensisch arbeiten (Stop the bleeding).
Steps
  1. HSTS aktivieren (nur wenn HTTPS überall stimmt).
  2. CSP erstmal report-only, dann enforce.
  3. X-Frame-Options / frame-ancestors setzen (Clickjacking).
  4. Referrer-Policy + Permissions-Policy setzen.
  5. Verifikation: curl -I + Browser DevTools console CSP reports.
Re-Check starten →Copilot Runbook Builder →
provider:awstopic:security-headers-cspawsrunbookops
Related Runbooks
Firewall Baseline auf Hetzner
Default deny, minimal offene Ports, sichere Defaults. (Operator Guide für Hetzner).
Öffnen →
SSH Hardening auf Hetzner
Key-only, Root aus, Rate-Limits, sichere Admin-Zugänge. (Operator Guide für Hetzner).
Öffnen →
WebSocket Origin Hardening auf Hetzner
Origin whitelist, Auth, Rate-Limits, sichere Headers. (Operator Guide für Hetzner).
Öffnen →
Reverse Proxy Baseline auf Hetzner
TLS, headers, caching, upstream health, timeouts. (Operator Guide für Hetzner).
Öffnen →
Rate Limit Baseline auf Hetzner
Edge + App Limits gegen Abuse und Cost-Spikes. (Operator Guide für Hetzner).
Öffnen →
DDoS First Response auf Hetzner
Blocken, absorbieren, recovern – ohne Panik. (Operator Guide für Hetzner).
Öffnen →
Hinweis: Diese Inhalte sind für Ops/Security gedacht. Keine „Namen-Datenbank“, keine Anschuldigungen – nur Runbooks, Tools und verifizierbare Checks.
CheckCopilotPro KitsVault