HTTP-Header X-Frame-Options und X-XSS-Protection - Zustelldienst

Warum?

Für APIs bietet die Verwendung der genannten HTTP-Header an sich zwar keinen großen Mehrwert, das Setzen des maximal eingeschränkten Headers sorgt jedoch für bessere Scrores in Analysetools und eine vorbildliche Konfiguration vereinfacht die Durchführung von Pentests.

Es sollen also die folgenden Header gesetzt werden:

X-Frame-Options: DENY
X-XSS-Protection: 1; mode=block

Relevante Links und Bemerkungen

• Scan der Testumgebung: https://observatory.mozilla.org/analyze/submission-api-testing.fit-connect.fitko.dev
• Scan der Refz-Umgebung: https://observatory.mozilla.org/analyze/submission-api-refz.fit-connect.niedersachsen.de (bereits korrekt implementiert)

Akzeptanzkriterien

1. Header ist in der Devumgebung gesetzt
2. Header ist in der Testumgebung gesetzt
3. Header ist in der Referenzumgebung gesetzt
4. Header ist in der Produktivumgebung gesetzt
5. Die Einhaltung der Konfig wird für alle Umgebungen via Firewall-Tests (siehe Infra-Repo) getestet.

Durchführungsplan

• ...
• ...
• ...