X-Content-Type-Options für Astro konfigurieren

nosniff-Header per Middleware (SSR)

Setzen Sie den Header in der Middleware. Die Middleware laeuft bei jedem SSR-Request und setzt den Header konsistent für alle Seiten und API-Routen. In der Praxis kombinieren Sie nosniff mit weiteren Security-Headern in einer einzigen Middleware.

// src/middleware.ts -- X-Content-Type-Options (SSR)
import { defineMiddleware } from 'astro:middleware';

export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();

  // MIME-Sniffing verhindern
  response.headers.set('X-Content-Type-Options', 'nosniff');

  return response;
});

// src/middleware.ts -- Kombiniert mit weiteren Security-Headern
import { defineMiddleware } from 'astro:middleware';

export const onRequest = defineMiddleware(async (context, next) => {
  const response = await next();

  // MIME-Sniffing verhindern
  response.headers.set('X-Content-Type-Options', 'nosniff');

  // Weitere Header, die typischerweise zusammen gesetzt werden
  response.headers.set('X-Frame-Options', 'DENY');
  response.headers.set('Referrer-Policy', 'strict-origin-when-cross-origin');

  return response;
});

Content-Types der Astro-Build-Pipeline prüfen

nosniff erzwingt, dass der Browser den deklarierten MIME-Typ verwendet. Wenn Astros Build-Pipeline oder der Webserver falsche Content-Types liefert, werden Ressourcen blockiert. Prüfen Sie die MIME-Typen aller Assets nach dem Build.

# Content-Types im Build prüfen
curl -sI https://ihre-domain.de/_astro/main.abc123.js | grep content-type
# Content-Type: application/javascript; charset=utf-8

curl -sI https://ihre-domain.de/_astro/style.def456.css | grep content-type
# Content-Type: text/css; charset=utf-8

# SVG-Dateien müssen korrekt ausgeliefert werden
curl -sI https://ihre-domain.de/logo.svg | grep content-type
# Content-Type: image/svg+xml

Zusammenspiel mit der Astro-Build-Pipeline

Astros Vite-Build-Pipeline generiert Assets mit korrekten MIME-Typen: .js als application/javascript, .css als text/css, .svg als image/svg+xml. Der Webserver (Nginx, Caddy, Vercel) muss diese MIME-Typen korrekt weiterleiten. Mit nosniff aktiv blockiert der Browser jede Ressource mit falschem Content-Type.

Besonders relevant bei Astro: Dynamisch generierte API-Responses müssen den korrekten Content-Type setzen. Wenn eine API-Route JSON zurückgibt, muss der Header Content-Type: application/json gesetzt sein. Astros Response-Konstruktor setzt den Content-Type nicht automatisch -- Sie müssen ihn explizit angeben.

Wolf-Agents validiert korrekte Content-Types als Teil des Web Security Checks. Wenn nosniff gesetzt ist, aber Assets mit falschem MIME-Typ ausgeliefert werden, führt das zu blockierten Ressourcen und fehlerhafter Darstellung.