Reporting API für Astro konfigurieren

Reporting-Endpoints per Middleware

Definieren Sie den Reporting-Endpoint in der Middleware und verknüpfen Sie ihn mit der CSP über report-to. Beginnen Sie mit Content-Security-Policy-Report-Only, um Violations zu sammeln, ohne Ressourcen zu blockieren.

// src/middleware.ts -- Reporting API (SSR)
import { defineMiddleware } from 'astro:middleware';

export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();

  // Reporting-Endpoints definieren
  response.headers.set('Reporting-Endpoints',
    'csp-endpoint="https://ihre-domain.de/api/csp-report"');

  // CSP mit report-to verknüpfen
  response.headers.set('Content-Security-Policy',
    "default-src 'self'; report-to csp-endpoint");

  return response;
});

// src/middleware.ts -- Report-Only-Modus (zum Testen)
export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();

  response.headers.set('Reporting-Endpoints',
    'csp-endpoint="https://ihre-domain.de/api/csp-report"');

  // Report-Only: Violations werden gemeldet, aber nicht blockiert
  response.headers.set('Content-Security-Policy-Report-Only',
    "default-src 'self'; script-src 'self'; report-to csp-endpoint");

  return response;
});

SSG-Fallback per Nginx

Für statische Deployments setzen Sie Reporting-Endpoints auf dem Webserver. Der Report-Empfänger muss weiterhin eine dynamische Serverkomponente sein -- statische Dateien können keine POST-Requests empfangen.

# Nginx -- Reporting-Endpoints (SSG)
add_header Reporting-Endpoints 'csp-endpoint="https://ihre-domain.de/api/csp-report"' always;

# CSP mit report-to
add_header Content-Security-Policy "default-src 'self'; report-to csp-endpoint" always;

# NEL (Network Error Logging) - optional
# add_header NEL '{"report_to":"csp-endpoint","max_age":86400}' always;

Von Reports zu Monitoring: Nächste Schritte

Der Report-Empfänger ist der erste Schritt. Für produktives CSP-Monitoring speichern Sie Reports in einer Datenbank, aggregieren nach Violation-Typ und erstellen Alerts bei ungewoehnlichen Mustern. Ein ploetzlicher Anstieg von CSP-Violations kann auf einen XSS-Angriff oder ein kompromittiertes Third-Party-Script hinweisen.

Wolf-Agents plant ein dediziertes CSP-Violation-Monitoring als Push-basiertes Feature (Phase B). Die Reporting API liefert die technische Grundlage: Browser senden Violations automatisch an den konfigurierten Endpoint, der die Reports in Echtzeit verarbeitet und bei Schwellenwertueberscbreitung Alerts auslöst.

Für den Einstieg genuegt die hier gezeigte API-Route mit console.log(). Verbinden Sie den Endpoint später mit einer Monitoring-Lösung wie dem Wolf-Agents Scan-Monitor oder einer eigenen Datenbank-Tabelle. Filtern Sie bekannte False Positives (Browser-Extensions, Ads) heraus, um die Signal-to-Noise-Ratio zu verbessern.