Security-Header
Security-Header schützen Ihre Bewerber und Benutzer vor Angriffen über den Browser. Mit jeder Seite schickt coveto dem Browser eine Art Hausordnung mit, zum Beispiel „Diese Seite darf nur auf diesen Webseiten eingebettet werden“ oder „Skripte nur von diesen Servern laden“. Der Browser hält sich daran.
Die meisten Security-Header sendet coveto automatisch. Sie stellen nur ein, was von Ihrer eigenen Webseite abhängt. Ohne Eintrag bleibt im Stellenportal alles wie bisher.
Sie finden die Einstellungen unter Einstellungen » Sicherheit » Security-Header.
Die Seite sehen Administratoren und alle Gruppen, die die Einstellungen bearbeiten dürfen, zum Beispiel die Benutzergruppe IT-Systemhaus. Wer Zugriff hat, legen Sie unter Einstellungen → Berechtigungen fest.
- Was coveto automatisch schützt
- Einbetten des Stellenportals
- Wo wurde das Stellenportal zuletzt eingebettet?
- Content-Security-Policy im Stellenportal
- Die drei Stufen
- Fremde Dienste eintragen
- Empfohlenes Vorgehen
- Gemeldete Verstöße
- Hinweis unter „Teilen und Einbetten“
- Häufige Fragen
Was coveto automatisch schützt
Ohne dass Sie etwas einstellen müssen, sorgt coveto unter anderem dafür, dass
- der Browser sich immer verschlüsselt mit coveto verbindet,
- die internen Masken, das Entscheider-Extranet, das Bewerber-Extranet und der Persönlichkeitstest nicht auf fremden Webseiten eingebettet werden können,
- Kamera und Mikrofon nur von coveto selbst genutzt werden dürfen (zum Beispiel für den Foto-Scanner und die Spracheingabe),
- die internen Masken und das Entscheider-Extranet nur Inhalte von Servern laden, die coveto dafür braucht. Diese Regel (Content-Security-Policy) ist dort immer aktiv und lässt sich nicht abschalten.
Einstellen können Sie zwei Dinge, beide für das Stellenportal: auf welchen Webseiten es eingebettet werden darf und welche fremden Dienste es laden darf.
Einbetten des Stellenportals
Viele Kunden binden das Stellenportal, einzelne Stellenanzeigen oder das Bewerbungsformular per iFrame in die eigene Webseite ein. Hier legen Sie fest, auf welchen Webseiten das erlaubt ist.
- Liste leer: Jede Webseite darf das Stellenportal einbetten. So war es bisher.
- Liste mit Einträgen: Nur die eingetragenen Webseiten dürfen das
Stellenportal einbetten. Ihre coveto-Adresse (zum Beispiel
kXXXXX.coveto.de) und Ihre eigene Domain für coveto sind immer erlaubt.
So tragen Sie eine Webseite ein:
- Klicken Sie auf Domain hinzufügen.
- Tragen Sie die Domain ein, zum Beispiel
www.ihre-domain.tld. Sie können auch die ganze Adresse aus dem Browser kopieren, coveto übernimmt nur die Domain. - Klicken Sie unten auf Speichern. Die Änderung wirkt sofort.
Beachten Sie dabei:
| Eintrag | Bedeutung |
|---|---|
www.ihre-domain.tld |
Nur diese Domain. ihre-domain.tld ohne www ist eine eigene Domain und muss zusätzlich eingetragen werden, wenn Ihre Webseite auch so erreichbar ist. |
*.ihre-domain.tld |
Alle Unterdomains, zum Beispiel www.ihre-domain.tld oder karriere.ihre-domain.tld, aber nicht ihre-domain.tld selbst. |
http://alt.ihre-domain.tld |
Für Webseiten, die noch ohne Verschlüsselung laufen. Ohne Angabe nimmt coveto https:// an. |
Denken Sie an alle Seiten, auf denen das Stellenportal eingebunden ist: die Seiten Ihrer Niederlassungen und Tochterfirmen und die Testumgebung Ihrer Web-Agentur.
Wo wurde das Stellenportal zuletzt eingebettet?
Unter der Liste zeigt coveto die Webseiten, auf denen das Stellenportal in den letzten 30 Tagen im iFrame aufgerufen wurde. Mit Übernehmen fügen Sie eine Webseite der Liste hinzu, gespeichert wird erst mit Speichern.
Gezählt werden Aufrufe von Besuchern. Testen Sie das Stellenportal selbst, während Sie in coveto angemeldet sind, erscheint Ihre Webseite dort nicht.
Fehlt eine Webseite in der Liste, bleibt das Stellenportal dort leer. Der Browser zeigt statt der Stellen eine graue Fläche oder eine Meldung wie „Verbindung abgelehnt“.
Content-Security-Policy im Stellenportal
Die Content-Security-Policy (CSP) legt fest, von welchen Servern der Browser Skripte, Schriften und eingebettete Inhalte laden darf. Gelingt es einem Angreifer, Code in eine Seite zu schmuggeln, kann dieser Code keine fremden Skripte nachladen und keine Daten an fremde Server schicken.
Die Einstellung gilt für das Stellenportal, die Stellenanzeigen, das Bewerbungsformular mit Danke-Seite, das Bewerber-Extranet und den Persönlichkeitstest.
Die drei Stufen
| Stufe | Wirkung |
|---|---|
| Aus | Keine Prüfung. So war es bisher. |
| Nur melden | Der Browser blockiert nichts. Er meldet aber, was er blockieren würde. Die Meldungen sehen Sie unter Gemeldete Verstöße. |
| Erzwingen | Der Browser blockiert alles, was nicht erlaubt ist, und meldet es. |
Fremde Dienste eintragen
Nutzen Sie in Ihren Job-Designs oder unter Einstellungen » Corporate Design » HTML & CSS fremde Dienste, tragen Sie deren Server ein:
| Liste | Wofür | Beispiele |
|---|---|---|
| Skripte | Skripte und das, was sie an ihren Server senden | Google Tag Manager, Cookie-Banner, Webanalyse |
| Stylesheets und Schriften | Stylesheets und Web Fonts | Google Fonts, Adobe Fonts |
| Eingebettete Inhalte und Videodateien | Inhalte im iFrame und verlinkte Videodateien (mp4, webm) | Google Maps, Umfragen, Videos auf Ihrem eigenen Server |
Videos von YouTube und Vimeo schalten Sie mit den beiden Schaltern frei. Bilder sind immer erlaubt, ebenso Videos, die Sie in coveto hochgeladen haben.
Typische Einträge:
| Dienst | Liste | Einträge |
|---|---|---|
| Google Tag Manager mit Google Analytics 4 | Skripte | www.googletagmanager.com, *.google-analytics.com, *.analytics.google.com |
| Google Fonts | Stylesheets und Schriften | fonts.googleapis.com, fonts.gstatic.com |
| Google Maps (eingebettete Karte) | Eingebettete Inhalte und Videodateien | www.google.com |
Welche Server ein Dienst genau braucht, nennt Ihr Dienstleister. Im Zweifel zeigen die gemeldeten Verstöße, was fehlt. Wie Sie Google Tag Manager einbinden, lesen Sie im Artikel Google Tag Manager und Google-Ads-Conversion-Tracking einbinden.
Empfohlenes Vorgehen
- Tragen Sie die Dienste ein, die Sie kennen.
- Stellen Sie die CSP auf Nur melden und speichern Sie.
- Prüfen Sie nach einigen Tagen die gemeldeten Verstöße und ergänzen Sie fehlende Server.
- Kommen keine neuen Meldungen mehr, stellen Sie auf Erzwingen.
Tragen Sie nur Server ein, die zu einem Dienst gehören, den Sie kennen und nutzen. Ein unbekannter Server in den Meldungen kann genau der Angriff sein, vor dem die CSP schützt. Manche Meldungen stammen auch von Browser-Erweiterungen Ihrer Besucher, zum Beispiel von Werbeblockern oder Übersetzern.
Gemeldete Verstöße
Unter den Einstellungen steht, wie viele Verstöße die Browser in den letzten 30 Tagen gemeldet haben. Verstöße anzeigen öffnet die Liste.
| Spalte | Bedeutung |
|---|---|
| Bereich | Wo der Verstoß auftrat: Stellenportal und Bewerbungsformular, Bewerber-Extranet und Persönlichkeitstest oder interne Masken |
| Direktive | Was geladen werden sollte, siehe unten |
| Blockiert | Der Server, von dem etwas geladen werden sollte. „inline“ und „eval“ betreffen Code in der Seite selbst. |
| blockiert (rot) | Die CSP stand auf Erzwingen, der Inhalt hat beim Besucher wirklich gefehlt. |
| Anzahl, Zuletzt | Wie oft und wann zuletzt |
| Seite | Die Seite, auf der es passiert ist |
| Ausgelöst von | Das Skript, das den Inhalt laden wollte, falls bekannt |
| Direktive | Was sollte geladen werden? | Passende Liste |
|---|---|---|
script-src |
ein Skript | Skripte |
connect-src |
Daten an einen Server senden | Skripte |
style-src |
ein Stylesheet | Stylesheets und Schriften |
font-src |
eine Schrift | Stylesheets und Schriften |
frame-src |
ein iFrame | Eingebettete Inhalte und Videodateien |
media-src |
eine Video- oder Audiodatei | Eingebettete Inhalte und Videodateien |
Gespeichert werden nur Server und Seite, keine IP-Adressen und keine vollständigen Adressen. Nach 30 Tagen löscht coveto die Meldungen.
Hinweis unter „Teilen und Einbetten“
Unter Werkzeuge » Teilen und Einbetten weist coveto beim iFrame-Code auf die Security-Header hin. Ist das Einbetten beschränkt, erinnert der Hinweis daran, Ihre Webseite einzutragen.
Wie Sie das Stellenportal einbinden, lesen Sie im Artikel Das coveto Stellenportal auf der eigenen Webseite einbinden.
Häufige Fragen
Muss ich etwas einstellen?
Nein. Ohne Eintrag bleibt das Stellenportal wie bisher. Wir empfehlen
aber, die Webseiten einzutragen, auf denen Sie das Stellenportal
einbinden, und die CSP mindestens auf „Nur melden“ zu stellen.
Das Stellenportal auf unserer Webseite ist leer.
Die Webseite fehlt in der Liste Seiten, die das Stellenportal
einbetten dürfen. Oft ist es nur die Variante mit oder ohne www
oder eine neue Niederlassung. Die Webseite steht trotzdem in der
Tabelle „Hier wurde das Stellenportal eingebettet“. Klicken Sie dort
auf Übernehmen und dann auf Speichern.
Unser Cookie-Banner, das Tracking oder eine Schrift funktioniert im
Stellenportal nicht mehr.
Die CSP steht auf Erzwingen, und der Server des Dienstes fehlt.
Öffnen Sie Verstöße anzeigen und tragen Sie den Server aus der
Spalte „Blockiert“ in die passende Liste ein. Sofortige Abhilfe: Stellen
Sie die CSP auf Nur melden.
Ein Video in einer Stellenanzeige wird nicht abgespielt.
Liegt das Video bei YouTube oder Vimeo, schalten Sie den passenden
Schalter ein. Liegt die Videodatei auf einem anderen Server, tragen Sie
diesen unter Eingebettete Inhalte und Videodateien ein. Videos, die
Sie in coveto hochgeladen haben, sind immer erlaubt.
In coveto sehe ich in der Stellenbeschreibung eine Karte nicht.
In den internen Masken erlaubt coveto nur eingebettete Videos von
YouTube und Vimeo. Andere iFrames werden dort bewusst blockiert. Im
Stellenportal erscheint die Karte, wenn Sie den Server unter
Eingebettete Inhalte und Videodateien eintragen.
Kann ich die CSP in den internen Masken abschalten?
Nein. coveto kennt alle Server, die die internen Masken brauchen. Sollte
dort trotzdem eine Funktion nicht arbeiten, wenden Sie sich an den
coveto-Support.
In der Tabelle der Einbettungen steht eine Webseite, die ich nicht
kenne.
Dann hat jemand Ihr Stellenportal auf einer fremden Seite eingebunden.
Übernehmen Sie diese Webseite nicht. Sobald Ihre Liste Einträge hat,
zeigt die fremde Seite das Stellenportal nicht mehr an.
Wie lange dauert es, bis eine Änderung wirkt?
Nach dem Speichern sofort. Laden Sie die Seite mit dem Stellenportal
neu.
Wer hat die Einstellungen geändert?
Jede Änderung steht im System-Protokoll unter Einstellungen »
Protokolle » System, mit Benutzer, Zeitpunkt und dem neuen Wert.
Warum ist die Content-Security-Policy nicht noch strenger eingestellt?
Eine strengere CSP würde auch Code verbieten, der direkt in der Seite
steht. Diesen Code brauchen viele Masken von coveto, die ohne Neuladen
der Seite reagieren.
Die CSP ist in coveto ein zusätzlicher Schutz. Sie verhindert, dass eingeschleuster Code fremde Skripte nachlädt oder Daten an fremde Server schickt. Der eigentliche Schutz setzt früher an: coveto prüft Eingaben und gibt sie so aus, dass sie im Browser nie als Code ausgeführt werden.