MIME-Typ-Verifizierung
Der X-Content-Type-Options-Header informiert Browser, Skripte und Stylesheets nur dann zu laden, wenn der Server den korrekten MIME-Typ angibt.
Problem
Ohne ordnungsgemäße MIME-Typ-Verifizierung könnten Browser fälschlicherweise Nicht-Skript- und Nicht-Stylesheet-Dateien als Skripte oder Stylesheets erkennen. Dieser Fehler ermöglicht das Laden potenziell schädlicher Dateien über <script> und <link>-Elemente im Rahmen von Cross-Site-Scripting (XSS)-Angriffen.
Lösung
Alle Websites müssen den X-Content-Type-Options-Header mit dem Wert nosniff setzen und geeignete MIME-Typen für die Dateien angeben, die sie bereitstellen (d.h. über den Content-Type-Header).
nosniff blockiert eine Anfrage, wenn das Anfragedatum:
- vom Typ
styleist und der MIME-Typ nichttext/cssist. - vom Typ
scriptist und der MIME-Typ kein gültiger JavaScript-MIME-Typ ist.
Beispiele
Verhindert, dass Browser fälschlicherweise Nicht-Stylesheets als Stylesheets und Nicht-Skripte als Skripte erkennen:
X-Content-Type-Options: nosniff