Fehlende Security-Header

PatchWatch schaut auf der Startseite nach Content-Security-Policy, Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy und Permissions-Policy. Fehlt einer, steht das im Bericht. HSTS ist eine Warnung, die anderen sind Hinweise.

Ist HSTS kürzer als ein halbes Jahr, ist das ein Hinweis. Erlaubt die Policy unsichere Skriptquellen, ist das eine Warnung. Ein Session-Cookie ohne SameSite, CORS mit jeder Herkunft und Credentials, und ein Server-Header werden ebenfalls genannt. Den genauen Header-Wert speichert der Bericht nicht.