Cross-Origin Headers auf IONOS konfigurieren
CORP, COEP und COOP auf Ihrem IONOS Webhosting konfigurieren — Spectre-Schutz per .htaccess mit Hinweisen zur CDN-Kompatibilität.
Cross-Origin Headers auf IONOS
Cross-Origin Headers (CORP, COEP, COOP) schützen vor Spectre-Seitenkanal-Angriffen, indem sie die Isolation zwischen Origins im Browser erzwingen. Diese drei Header arbeiten zusammen und sind mit 30 von 166 Punkten einer der gewichtigsten Bereiche im Wolf-Agents Web Security Check.
Auf IONOS Shared Hosting setzen Sie alle drei Header per .htaccess. Wichtig: Cross-Origin Headers können mit dem IONOS CDN und eingebetteten Drittanbieter-Ressourcen (YouTube, Google Maps, Payment-Provider) kollidieren. Testen Sie gründlich, bevor Sie die Header produktiv setzen.
Der Wolf-Agents Web Security Check prüft alle drei Cross-Origin Headers einzeln und bewertet sie zusammen mit 30 von 166 Punkten. Die .htaccess laden Sie per FTP in /www/htdocs/ hoch. Auf einem IONOS vServer können Sie die Header alternativ direkt in der Apache- oder Nginx-Konfiguration setzen.
Cross-Origin Headers auf IONOS implementieren
Wählen Sie zwischen der strikten Variante
(maximale Isolation) und der CDN-kompatiblen Variante
(für Websites mit externen Ressourcen wie YouTube, Google Maps
oder CDN-Assets). Auf IONOS Shared Hosting konfigurieren Sie
alle Header per .htaccess in /www/htdocs/.
Auf einem vServer setzen Sie die Header alternativ direkt
in der Apache- oder Nginx-Konfiguration.
# .htaccess — Cross-Origin Headers (strikt)
<IfModule mod_headers.c>
Header always set Cross-Origin-Opener-Policy "same-origin"
Header always set Cross-Origin-Embedder-Policy "require-corp"
Header always set Cross-Origin-Resource-Policy "same-origin"
</IfModule># .htaccess — Cross-Origin Headers (CDN-kompatibel)
<IfModule mod_headers.c>
Header always set Cross-Origin-Opener-Policy "same-origin-allow-popups"
Header always set Cross-Origin-Embedder-Policy "unsafe-none"
Header always set Cross-Origin-Resource-Policy "cross-origin"
</IfModule>Wenn Sie den IONOS CDN-Dienst nutzen, kann require-corp dazu führen, dass CDN-Ressourcen blockiert werden. Nutzen Sie in diesem Fall die CDN-kompatible Variante.
Verifizierung
Prüfen Sie alle drei Header nach dem Upload der .htaccess. Testen Sie zusätzlich Seiten mit externen Embeds (YouTube, Google Maps), um sicherzustellen, dass diese nicht blockiert werden.
# Cross-Origin Headers prüfen
curl -sI https://ihre-domain.de | grep -i cross-origin
# Erwartete Ausgabe:
# cross-origin-opener-policy: same-origin
# cross-origin-embedder-policy: require-corp
# cross-origin-resource-policy: same-originHäufige Fehler bei Cross-Origin Headers auf IONOS
Cross-Origin Headers sind die fehleranfälligsten Security Headers — besonders auf Shared Hosting mit externen Ressourcen und CDN-Diensten. Testen Sie jede Änderung gründlich auf einer Staging-Subdomain, bevor Sie die Header produktiv setzen.
YouTube und Google Maps blockiert
require-corp blockiert alle Cross-Origin-Ressourcen ohne CORP-Header. YouTube, Google Maps und Payment-Widgets liefern keinen CORP-Header. Wechseln Sie zur CDN-kompatiblen Variante.
IONOS CDN cached Header nicht durch
Geänderte Cross-Origin Headers können durch den IONOS CDN-Cache verzögert werden. Leeren Sie den Cache im Control Panel und warten Sie einige Minuten.
SharedArrayBuffer nicht verfügbar
SharedArrayBuffer erfordert require-corp und same-origin. Beide Header müssen gleichzeitig gesetzt sein — die CDN-kompatible Variante reicht dafür nicht aus.
mod_headers auf IONOS nicht aktiv
Auf manchen IONOS-Tarifen ist mod_headers nicht verfügbar. Prüfen Sie mit phpinfo(), ob das Modul geladen ist. Als Fallback setzen Sie die Header per PHP: header("Cross-Origin-Opener-Policy: same-origin").
Compliance-Relevanz
Cross-Origin Headers schützen vor prozessübergreifenden Seitenkanal-Angriffen und erzwingen Browser-seitige Isolation zwischen verschiedenen Origins. Mit 30 von 166 Punkten sind sie der gewichtigste Bereich im Wolf-Agents Web Security Check.
Zusammenfassung
Cross-Origin Headers sind der gewichtigste Bereich im Wolf-Agents Web Security Check mit 30 von 166 Punkten. Die strikte Variante bietet maximalen Schutz, kann aber externe Ressourcen blockieren. Starten Sie auf IONOS mit der CDN-kompatiblen Variante und verschärfen Sie schrittweise, nachdem Sie alle eingebetteten Drittanbieter-Ressourcen identifiziert haben.
Auf Shared Hosting konfigurieren Sie die Header
per .htaccess in /www/htdocs/. Auf einem
vServer haben Sie die Möglichkeit, die Header
pfadspezifisch zu setzen — z.B. strikte Werte für die Hauptseite
und CDN-kompatible Werte für Media-Verzeichnisse.
Wie steht Ihre Domain bei Cross-Origin Headers?
Prüfen Sie es jetzt — kostenlos, ohne Registrierung, mit 166 Prüfpunkte.