X-Content-Type-Options: nosniff setzen und was es bewirkt

Warum das wichtig ist

Jede Datei, die dein Server ausliefert, bekommt einen Content-Type mit, etwa text/html, image/jpeg oder text/javascript. Browser haben früher versucht, falsche Angaben auszubügeln, und den Inhalt selbst untersucht. Dieses Raten heißt MIME-Sniffing.

Das Problem dabei: Lädt jemand über ein Upload-Formular eine Datei hoch, die wie ein Bild heißt, aber HTML oder JavaScript enthält, kann ein ratender Browser sie als ausführbaren Code behandeln. Mit nosniff hält sich der Browser strikt an den angegebenen Typ. Skripte und Stylesheets mit falschem Typ blockiert er.

Aktuelle Browser raten deutlich zurückhaltender als früher, der Sicherheitsgewinn ist also überschaubar. Der Header kostet aber nichts, macht praktisch nie Probleme und taucht in Sicherheitsscans regelmäßig als Befund auf, wenn er fehlt. Er gehört zur Grundausstattung jeder Serverkonfiguration, genau wie HSTS und die Referrer-Policy.

So prüfst du es selbst

Entwicklertools (F12), Reiter „Netzwerk“, erster Eintrag, Antwort-Header. Oder im Terminal:

curl -sI https://example.de | grep -i x-content-type

Was checkfrei prüft

Die Antwort sollte x-content-type-options: nosniff lauten. checkfrei sucht genau diesen Header auf deiner Seite. Fehlt er, gibt es eine Warnung. Im kostenlosen Check siehst du alle Sicherheitsheader auf einen Blick.

So behebst du es

Klick nach dem Setzen einmal durch die Seite und schau in der Konsole nach Meldungen wie „Refused to execute script … because its MIME type … is not executable“. Die erscheinen nur, wenn dein Server eine Datei mit falschem Typ ausliefert, etwa JavaScript als text/plain. Dann ist der Header nicht schuld, er macht den Fehler nur sichtbar. Korrigier in dem Fall den Typ in der Serverkonfiguration.

<IfModule mod_headers.c>
  Header always set X-Content-Type-Options "nosniff"
</IfModule>

add_header X-Content-Type-Options "nosniff" always;

// next.config.mjs
const nextConfig = {
  async headers() {
    return [
      {
        source: "/:path*",
        headers: [{ key: "X-Content-Type-Options", value: "nosniff" }],
      },
    ];
  },
};

export default nextConfig;

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        { "key": "X-Content-Type-Options", "value": "nosniff" }
      ]
    }
  ]
}

/*
  X-Content-Type-Options: nosniff