Cross-Origin Headers für Shopware 6

// SecurityHeaderSubscriber.php — Cross-Origin Headers
public function onResponse(ResponseEvent $event): void
{
    $response = $event->getResponse();

    // COOP — Isolierung von Window-Referenzen
    // Sicher für alle Seiten, auch mit Payment-Popups
    $response->headers->set(
        'Cross-Origin-Opener-Policy',
        'same-origin'
    );

    // CORP — Ressourcen nur für Same-Origin
    // Verhindert Einbettung Ihrer Bilder/Scripts auf fremden Seiten
    $response->headers->set(
        'Cross-Origin-Resource-Policy',
        'same-origin'
    );

    // COEP — credentialless ist sicherer als unsafe-none
    // aber kompatibler als require-corp
    $response->headers->set(
        'Cross-Origin-Embedder-Policy',
        'credentialless'
    );
}

# Nginx — Alternative für Self-Hosted
# COOP und CORP sind sicher, COEP mit Vorsicht

add_header Cross-Origin-Opener-Policy "same-origin" always;
add_header Cross-Origin-Resource-Policy "same-origin" always;

# COEP: credentialless als Kompromiss
# Erlaubt Cross-Origin-Ressourcen ohne Credentials
add_header Cross-Origin-Embedder-Policy "credentialless" always;

# Falls Payment-Provider Probleme machen:
# COEP auf Checkout-Seiten deaktivieren
# location ~ ^/checkout {
#     add_header Cross-Origin-Embedder-Policy "unsafe-none" always;
# }

// Fortgeschritten: COEP nur auf Nicht-Checkout-Seiten
public function onResponse(ResponseEvent $event): void
{
    $request = $event->getRequest();
    $response = $event->getResponse();
    $path = $request->getPathInfo();

    // COOP und CORP: immer setzen (sicher)
    $response->headers->set('Cross-Origin-Opener-Policy', 'same-origin');
    $response->headers->set('Cross-Origin-Resource-Policy', 'same-origin');

    // COEP: credentialless auf allen Seiten AUSSER Checkout
    if (!str_starts_with($path, '/checkout')) {
        $response->headers->set(
            'Cross-Origin-Embedder-Policy',
            'credentialless'
        );
    } else {
        // Checkout: unsafe-none für Payment-Provider
        $response->headers->set(
            'Cross-Origin-Embedder-Policy',
            'unsafe-none'
        );
    }
}