Erweiterte Header für Laravel konfigurieren
Schritt-für-Schritt-Anleitung: Erweiterte Header in Laravel einrichten — mit Middleware-Code zum Kopieren und Best Practices.
Erweiterte Header in Laravel
Erweiterte Header umfassen Origin-Agent-Cluster, HTTPS-Redirects, WWW-Normalisierung, Fetch Metadata Protection und X-DNS-Prefetch-Control. Zusammen tragen sie 4 von 166 Punkten zum Web Security Check bei.
In Laravel implementieren Sie diese Header über Middleware und AppServiceProvider. Besonders wertvoll: die Resource Isolation Policy mit Fetch Metadata, die CSRF- und Cross-Origin-Angriffe auf API-Endpoints abwehrt.
Erweiterte Header in der Middleware konfigurieren
Fügen Sie den Header in Ihrer SecurityHeaders-Middleware hinzu. Der Header wird bei jedem Response automatisch gesetzt.
// app/Http/Middleware/SecurityHeaders.php
// Origin-Agent-Cluster — Prozess-Isolation
$response->headers->set('Origin-Agent-Cluster', '?1');
$response->headers->set('X-Permitted-Cross-Domain-Policies', 'none');
// HTTPS erzwingen (app/Providers/AppServiceProvider.php)
if ($this->app->environment('production')) {
URL::forceScheme('https');
}
// WWW-Redirect Middleware
if (str_starts_with($request->getHost(), 'www.')) {
$nonWwwHost = substr($request->getHost(), 4);
return redirect()->to(
'https://' . $nonWwwHost . $request->getRequestUri(), 301
);
}
// DNS-Prefetch-Control für sensible Bereiche
if ($request->is('account/*', 'dashboard/*')) {
$response->headers->set('X-DNS-Prefetch-Control', 'off');
}Konfiguration verifizieren
Prüfen Sie die Header mit curl -sI https://ihre-domain.de | grep -iE "origin-agent|x-permitted|dns-prefetch".
Häufige Fehler
TrustProxies nicht konfiguriert
Wenn Laravel hinter einem Reverse Proxy steht, erkennt $request->isSecure() HTTPS nicht korrekt. Konfigurieren Sie TrustProxies für korrekte Schema-Erkennung.
WWW-Redirect-Loop
Wenn der Reverse Proxy bereits WWW-Redirects macht, entsteht eine Endlosschleife. Implementieren Sie den Redirect entweder in Laravel oder im Reverse Proxy — nicht in beiden.
Compliance-Relevanz
Wie steht Ihre Domain bei Erweiterte Header?
Prüfen Sie es jetzt — kostenlos, ohne Registrierung, mit 166 Prüfpunkte.