Security-Reports verstehen, ergänzen und weitergeben

01 · Beobachtung

Inline-CSS in Style-Quellenlisten

Auszug aus der gespeicherten Content Security Policy, Nachweis zu csp-unsafe-inline-style auf PDF-Seite 7.

Prüfpunktkennung csp-unsafe-inline-style · Im Report zeigen (Seite 7)

02 · Einordnung

Die Messung erfasste 'unsafe-inline' in style-src. Weil style-src-elem und style-src-attr nicht gesetzt sind, gilt die Freigabe für Style-Elemente und Style-Attribute; der Report wertet das als wirksame Inline-Freigabe. Der Prüfpunkt ist nicht bestanden, mit niedrigem Schweregrad und 0 Punkten Gewicht. Der übergeordnete Prüfpunkt content-security-policy ist mit 25/25 Basispunkten bestanden. Die Gesamtbewertung beträgt 138 Punkte und A; nicht bestanden sind außerdem COOP und COEP.

Nicht daraus ableitbar: Der Befund beschreibt die Header-Konfiguration, keinen Angriff: Ob fremdbestimmtes HTML oder CSS in die Anwendung gelangen kann, wurde nicht festgestellt. Ob die Seiten Inline-Stile tatsächlich benötigen, zeigt die Messung ebenfalls nicht. Geprüft wurde nur die Antwort dieser einen Adresse; das Muster ist keine vollständige Websiteprüfung und kein Konformitätsnachweis.

03 · Weiterarbeiten

Die Notiz im Anhang unterscheidet Style-Elemente und Style-Attribute: je nach Bedarf Nonces oder Inhaltshashes für Elemente, vorzugsweise CSS-Klassen für Attribute. Sie empfiehlt Funktionstests vor einer Änderung aller wirksamen Policies und erklärt, dass Report-Only nur meldet. Zur Arbeitskopie

Eigenes Ziel prüfen: Website prüfen. Hintergrund zum Befund: Content Security Policy: CSP verstehen und einführen.

01 · Beobachtung

SMTP TLS-Zertifikat

Abschnitt smtp-tls auf PDF-Seite 14. Der primäre und der Fallback-Prüfstandort melden dasselbe.

Prüfpunktkennung smtp-tls · Im Report zeigen (Seite 14)

02 · Einordnung

Für mail.tutanota.de liegt keine TLS-Beobachtung vor. Die beiden SMTP-Prüfpunkte smtp-tls und smtp-zertifikat stehen deshalb auf „nicht auswertbar“; ihre Kataloggewichte 13 und 3 erklären 16 nicht auswertbare Punkte. 118/142 Produktpunkte bleiben gespeichert. Die Messabdeckung 124 unterscheidet sich von den Gruppennennern 126 um 2/2 Punkte des nicht anwendbaren dmarc-report-auth. Bestätigte negative Befunde nennt der Report für diesen Stand nicht.

Nicht daraus ableitbar: Die Lücke belegt keinen Mangel am Mailserver. Beide Prüfstandorte liefen bei dieser Messung auf demselben eigenen Prüfhost, dessen Anbieter ausgehende Verbindungen zu Port 25 sperrt; beide Proben endeten nach rund zehn Sekunden mit einer Zeitüberschreitung. Der Domaincheck bestätigt auch nicht die Absenderauthentisierung einer konkreten Nachricht, ihre Zustellung oder die Einordnung im Posteingang.

03 · Weiterarbeiten

Die Notiz im Anhang hält die offene Frage fest, ob mail.tutanota.de STARTTLS mit passendem Zertifikat anbietet. Sie schlägt eine Wiederholung aus einer Umgebung mit freiem Port 25 vor, ergänzt um eingehende TLS-RPT-Berichte. Zur Arbeitskopie

Eigenes Ziel prüfen: E-Mail-Domain prüfen. Hintergrund zum Befund: SMTP-TLS: STARTTLS, Ports und Zertifikate verstehen.

01 · Beobachtung

Rate-Limit-Header

Abschnitt no-rate-limiting auf PDF-Seite 5.

Prüfpunktkennung no-rate-limiting · Im Report zeigen (Seite 5)

02 · Einordnung

In der beobachteten Antwort fehlen sichtbare Rate-Limit-Signale wie RateLimit, RateLimit-Policy oder HTTP 429. Der Report führt das als Hinweis ohne Punktabzug; die Kategorie Rate-Limiting bleibt unbewertet.

Nicht daraus ableitbar: Ob der Endpunkt drosselt, zeigt ein einzelner Abruf nicht. Auch 100 von 100 Punkten belegen keine wirksame Drosselung. Das Muster ist kein Penetrationstest, keine Rollen- oder Autorisierungsprüfung und kein programmatischer Zugang zu den Scannern.

03 · Weiterarbeiten

Die Notiz im Anhang fragt, welche Begrenzung für den Endpunkt tatsächlich gilt und ob Clients sie erkennen sollen. Sie schlägt einen Abgleich mit Konfiguration und Protokollen vor; einen Lasttest nur mit ausdrücklicher Freigabe. Zur Arbeitskopie

Eigenes Ziel prüfen: API-Endpunkt prüfen. Hintergrund zum Befund: API Rate Limits: Aufrufe, Kosten und Parallelität begrenzen.