Fremde Skripte absichern mit Subresource Integrity

Was sind fremde Skripte und Subresource Integrity?

Fremde Skripte sind Programm-Dateien, die nicht von Ihrem Server, sondern von einem Anbieter kommen, zum Beispiel für Kartenansichten, Schriftarten, Chat-Fenster oder Statistik. Sie werden mit einem script-Tag und der Adresse des Anbieters eingebunden. Subresource Integrity (SRI) ergänzt dieses Tag um einen Fingerabdruck der Datei, den «integrity»-Hash. Der Browser berechnet beim Laden den Fingerabdruck der gelieferten Datei und führt sie nur aus, wenn beide übereinstimmen. Ist die Datei verändert worden, blockiert er sie. Das Tag sieht so aus:

<script src="https://anbieter.example/bibliothek-1.2.3.min.js"
  integrity="sha384-HIER-DEN-HASHWERT-DES-ANBIETERS-EINTRAGEN"
  crossorigin="anonymous"></script>

Warum zählt das für Sicherheit, Google und KI-Assistenten?

Ein fremdes Skript darf auf Ihrer Seite fast alles, was Ihr eigener Code darf, zum Beispiel Eingaben in Formularen lesen. Wird der Anbieter gehackt, läuft der veränderte Code auf allen Seiten, die ihn laden. SRI verringert dieses Risiko für Dateien mit fester Version. Für das Google-Ranking ist kein direkter Einfluss bekannt, eine manipulierte Seite kann aber in Suchergebnissen mit einer Warnung versehen werden. KI-Assistenten lesen den Skriptcode nicht, doch eine verfälschte Seite liefert womöglich falsche Inhalte. Zudem verlängern viele Fremd-Skripte die Ladezeit.

So prüfen Sie es selbst

Öffnen Sie den Quelltext der Startseite mit Strg+U und suchen Sie mit Strg+F nach «<script». Schauen Sie bei jedem Eintrag mit src= nach, ob die Adresse zu Ihrer eigenen Domain oder zu einem fremden Anbieter gehört. Bei fremden Anbietern prüfen Sie, ob das Attribut «integrity» im selben Tag steht. Der Gratis-Check von KI-Sichtradar nennt bis zu vier fremde Server und zählt die Skripte ohne Integritätsschutz. Fremde Stile (CSS) prüft er nicht.

So beheben Sie es

Tragen Sie bei Dateien mit fester Version den Hash ein; viele Anbieter nennen ihn auf ihrer Seite. Sonst berechnen Sie ihn selbst, zum Beispiel mit dem folgenden Befehl, und setzen «sha384-» davor. Ändert der Anbieter die Datei, blockiert der Browser sie. Darum eignet sich SRI nicht für Skripte, die sich laufend ändern, etwa Chat- oder Werbe-Widgets. Dann hilft es, nur nötige Anbieter zu behalten oder die Datei selbst zu hosten und zu pflegen. Machen Sie vorher eine Sicherung.

openssl dgst -sha384 -binary bibliothek-1.2.3.min.js | openssl base64 -A

1. Erstellen Sie eine Sicherung Ihrer Website.
2. Listen Sie alle Skripte auf, die von fremden Servern geladen werden.
3. Entfernen Sie Skripte und Dienste, die Sie nicht mehr brauchen.
4. Ergänzen Sie bei Dateien mit fester Version «integrity» und «crossorigin» im script-Tag.
5. Lassen Sie diese Änderung vom Webdesigner machen, wenn Sie das Website-System nicht selbst pflegen.
6. Testen Sie die Seite danach auf allen wichtigen Funktionen.