📡 Content‑Security‑Policy (CSP) für deine Seite

Eine CSP verhindert, dass unsichere Skripte, Styles oder Bilder geladen werden. Sie wird üblicherweise als HTTP‑Header gesetzt, kann aber auch über ein -Tag eingebunden werden (weniger sicher).

Status: published Erstellt: 19. November 2025 Kategorie: Blog Tutorials Tags: Compliance & Sicherheit Entwickler IAM Security Access Identity KI‑Entwicklung Data Minimization Human‑in‑the‑Loop mcAI DSGVO

📡 Content‑Security‑Policy (CSP) für deine Seite

1️⃣ CSP‑Header – Beispiel für Apache (.htaccess)

# .htaccess
<IfModule mod_headers.c>
    Header set Content-Security-Policy "default-src 'self';
        script-src 'self' https://cdn.jsdelivr.net https://cdnjs.cloudflare.com;
        style-src  'self' https://fonts.googleapis.com https://cdn.jsdelivr.net;
        img-src    'self' data: https://cdn.jsdelivr.net;
        font-src   https://fonts.gstatic.com;
        object-src 'none';
        base-uri   'self';
        form-action 'self';
        frame-ancestors 'none';"
    </IfModule>

2️⃣ CSP‑Header – Beispiel für Nginx

# nginx.conf
add_header Content-Security-Policy "default-src 'self';
    script-src 'self' https://cdn.jsdelivr.net https://cdnjs.cloudflare.com;
    style-src  'self' https://fonts.googleapis.com https://cdn.jsdelivr.net;
    img-src    'self' data: https://cdn.jsdelivr.net;
    font-src   https://fonts.gstatic.com;
    object-src 'none';
    base-uri   'self';
    form-action 'self';
    frame-ancestors 'none';" always;

3️⃣ CSP über ein <meta>-Tag (nur als Backup)

<meta http-equiv="Content-Security-Policy"
      content="default-src 'self';
               script-src 'self' https://cdn.jsdelivr.net https://cdnjs.cloudflare.com;
               style-src  'self' https://fonts.googleapis.com https://cdn.jsdelivr.net;
               img-src    'self' data: https://cdn.jsdelivr.net;
               font-src   https://fonts.gstatic.com;
               object-src 'none';
               base-uri   'self';
               form-action 'self';
               frame-ancestors 'none';">