SRI auf Strato konfigurieren
Subresource Integrity auf Ihrem Strato Webhosting — Hash-Prüfung externer Scripts direkt im HTML, ohne Serverkonfiguration.
Subresource Integrity auf Strato
Subresource Integrity (SRI) schützt vor manipulierten externen Scripts und Stylesheets. Der Browser vergleicht einen SHA-Hash im integrity-Attribut mit der heruntergeladenen Ressource — stimmen sie nicht überein, wird die Datei blockiert. SRI ist mit 15 von 166 Punkten im Wolf-Agents Web Security Check vertreten.
Der große Vorteil auf Strato Shared Hosting: SRI benötigt keine Serverkonfiguration. Sie fügen das integrity-Attribut direkt in Ihre HTML-Tags ein — das funktioniert auf jedem Strato-Tarif (Shared Hosting, WordPress Hosting und V-Server) ohne .htaccess oder PHP-Änderungen.
Wichtig: SRI funktioniert nur mit statischen Dateien. Wenn ein CDN den Inhalt dynamisch verändert (z.B. Minification on-the-fly), stimmt der Hash nicht überein und die Ressource wird blockiert. Der Wolf-Agents Web Security Check analysiert automatisch alle externen Scripts Ihrer Website und prüft, ob integrity-Attribute vorhanden und korrekt sind.
SRI auf Strato implementieren
Generieren Sie einen SHA-384-Hash für jede externe Ressource und fügen Sie ihn als integrity-Attribut hinzu. Das crossorigin="anonymous"-Attribut ist bei Cross-Origin-Ressourcen zwingend erforderlich. Die Änderung erfolgt direkt im HTML — kein FTP-Upload einer .htaccess nötig.
<!-- HTML — SRI fuer externes JavaScript -->
<script
src="https://cdn.example.com/lib.min.js"
integrity="sha384-oqVuAfXRKap7fdgcCY5uykM6+R9GqQ8K/uxy9rx7HNQlGYl1kPzQho1wx4JwY8wC"
crossorigin="anonymous"
></script>
<!-- HTML — SRI fuer externes CSS -->
<link rel="stylesheet"
href="https://cdn.example.com/style.min.css"
integrity="sha384-abc123def456..."
crossorigin="anonymous" /># Hash generieren (Terminal oder Online-Tool)
openssl dgst -sha384 -binary lib.min.js | openssl base64 -A
# Oder: srihash.org oeffnen und URL eingeben
# Der generierte Hash wird direkt als integrity-Attribut verwendet// PHP — SRI-Hash generieren (auf Strato V-Server)
<?php
function generateSriHash($file) {
$hash = hash_file('sha384', $file, true);
return 'sha384-' . base64_encode($hash);
}
$integrity = generateSriHash('path/to/lib.min.js');
echo '<script src="https://cdn.example.com/lib.min.js" integrity="' . $integrity . '" crossorigin="anonymous"></script>';
?>Das crossorigin="anonymous"-Attribut ist für SRI bei Cross-Origin-Ressourcen zwingend erforderlich. Ohne dieses Attribut prüft der Browser den Hash nicht und SRI hat keinen Effekt.
Verifizierung
Öffnen Sie die Browser DevTools (F12) und prüfen Sie den Console-Tab auf SRI-Fehler. Bei einem Hash-Mismatch erscheint eine rote Fehlermeldung und die Ressource wird nicht geladen. Prüfen Sie auch den Network-Tab — blockierte Ressourcen zeigen den Status (blocked:sri).
# SRI-Hash generieren und pruefen
openssl dgst -sha384 -binary lib.min.js | openssl base64 -A
# Erwartete Ausgabe:
# YvpcrYf0tY3lHB60NNkmXc5s9fDVZLESaAA55NDzOxhy9GkcIdslK1eN7N6jIeHz
# Browser DevTools oeffnen (F12) — Console-Tab
# Bei Hash-Mismatch erscheint:
# Failed to find a valid digest in the integrity attribute
# Wolf-Agents Web Security Check prueft SRI automatischsrihash.org als bequeme Alternative zu openssl. Der Wolf-Agents Web Security Check prüft SRI automatisch mit bis zu 15 Punkten. Häufige Fehler bei SRI auf Strato
Hash stimmt nach CDN-Update nicht mehr
Wenn der CDN-Anbieter die Datei aktualisiert, ändert sich der Hash. Das ist gewollt — SRI schützt genau davor. Aktualisieren Sie den Hash, wenn Sie die neue Version verwenden möchten.
crossorigin-Attribut fehlt
Ohne crossorigin="anonymous" bei Cross-Origin-Scripts ignoriert der Browser das integrity-Attribut vollständig. Der Hash wird nicht geprüft und SRI hat keinen Effekt.
Dynamischer CDN-Inhalt bei Strato
SRI funktioniert nur mit statischen Dateien. Wenn Strato oder ein externer CDN den Inhalt dynamisch verändert (z.B. Kompression, Minification), stimmt der Hash nicht überein. Deaktivieren Sie CDN-seitige Optimierungen für Dateien mit SRI.
WordPress-Plugins ohne SRI-Support
Auf Strato WordPress Hosting laden viele Plugins externe Scripts ohne integrity-Attribut. Nutzen Sie ein SRI-Plugin wie „SRI Manager" oder setzen Sie die Hashes manuell über die functions.php mit wp_script_add_data().
Compliance-Relevanz
SRI stellt die Integrität externer Ressourcen sicher und ist besonders relevant für Zahlungsseiten. PCI DSS 4.0 fordert explizit die Integritätsprüfung von Scripts auf Seiten mit Zahlungsabwicklung.
Auch verfügbar für:
Wie steht Ihre Domain bei Subresource Integrity?
Prüfen Sie es jetzt — kostenlos, ohne Registrierung, mit 166 Prüfpunkte.