Antworten auf häufig gestellte Fragen

Wir haben seit einiger Zeit zur Verbesserung der Serversicherheit, einige Aktualisierungen vorgenommen. Unter anderem ist nun auch das hier zum Tragen kommende HTTP Strict Transport Security-Verfahren aktiv (kurz: HSTS). Als eine Maßnahme gegen Man-in-the-middle-Angriffe wurde dieses Verfahren eingeführt. Der Web-Client merkt sich im Prinzip, dass eine verschlüsselte Verbindung zur Verfügung steht und nutzt diese dann auch. Nachteile ergeben sich dadurch nicht. Im Gegenteil: Suchmaschinen, wie Google, bevorzugen - nach unserem Wissen nach - sogar Seiten, die das HSTS-Verfahren unterstützen.

Sollten bei Ihrer Seite trotzdem Probleme entstehen, die sich nicht durch Ihren Webmaster in den Skripten beheben lassen, gäbe es noch die Möglichkeit der vollständigen Deaktivierung von HSTS. Dazu setzen Sie am Anfang der .htaccess Datei folgende Zeilen:

Header set Strict-Transport-Security "max-age=0" env=HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off

Sie sollten also auch wieder wie gewohnt navigieren können, was dann aber das neue Sicherheits-Feature HSTS deaktiviert.

Grundlegend sollten Sie daher die Skripte prüfen und diese für HSTS optimieren, um von diesem Feature profitieren zu können. Hierzu wenden Sie sich bitte an Ihren Webmaster oder den Hersteller Ihrer verwandten Software.

Es gibt dafür zwei mögliche Ursachen:

1. PHP Funktion sendmail(() nicht aktiv

Die PHP Funktion sendmail() kann über das AlfaDog Security-Center aktiviert und deaktiviert werden. Weiterhin wird sendmail() automatisch deaktiviert wenn auf Ihrem Webaccount Schadcode gefunden wird. Sie erhalten in diesem Fall eine E-Mail dazu. Die Aktivierung können Sie nach Beseitigung des Schadcodes um AlfaDog Security Center wieder aktivieren. Wenn dieser Service in Ihrem Tarif nicht inklusive ist, melden Sie sich bitte via Ticket.

2. Ungültiger Absender

Stellen Sie sicher, dass  der Absender der im beim Versand genutzt wird, auf eine Mailadresse gesetzt ist die bei Ihnen im Tarif verwaltet wird (also dort angelegt ist und existiert).

Sollten Sie die Mailadresse für Ihre Domain noch nicht eingerichtet haben, holen Sie dies bitte nach (siehe Wie erstelle ich eine E-Mail-Adresse?). Bei Problemen mit Kontaktformularen stellen Sie sicher, dass auch dort der Absender auf eine Mailadresse gesetzt ist, die bei Ihnen im Tarif verwaltet wird (also dort angelegt ist und existiert).

Dies dient der Steigerung der Sicherheit unserer Infrastruktur und Ihrer Webseite. Sie hilft bei der Vermeidung von Spam- und Phishingbetrug, da ansonsten die Fälschung eines Absenders möglich wäre.

Scriptsprachen wie Python, Ruby, Perl, oder CGI werden über die Schnittstelle CGI angesprochen und müssen daher im Verzeichnis /cgi-bin liegen. Sofern im Confixx CGI außerhalb von /cgi-bin aktiviert wurde, können sich die Daten auch in einem anderen Ordner befinden. Dieser Ordner darf nicht /cgi-bin heißen, da bei Aufruf von http://domains.de/cgi-bin immer der Standardordner /html/cgi-bin aufgerufen wird.

Achten Sie darauf, dass diese Dateien immer zwingend die Rechte 744 haben.

Klicken Sie mit der rechten Maustaste auf das „X" und wählen Sie die Eigenschaften. In der Zeile Adresse (URL) sehen Sie, wo die Datei laut ihrer Verlinkung liegen soll und wie sie benannt wurde. Diese Verlinkung kontrollieren Sie nun ebenfalls per FTP.

Beispiel: Bei Adresse (URL) steht:
http://www.meinedomain.de/bilder/urlaub/strand.jpg

Zur Kontrolle verbinden Sie sich per FTP und sehen nach ob die Datei tatsächlich so heißt und im betreffenden Verzeichnis liegt. Das Bild „strand.jpg" muss laut URL in folgendem FTP Pfad stehen

/html/bilder/urlaub

Achten Sie auch darauf, dass die Groß- und Kleinschreibung der Ordner/Daten mit denen, in Ihrer Verlinkung übereinstimmen. Sobald auch nur der Ordner „bilder" mit einem großen „B" geschrieben wurde, wäre das Bild nicht mehr sichtbar. Weiterhin sollte kontrolliert werden, ob für die betroffene Domain eine Weiterleitung auf ein anderes Verzeichnis als /html eingerichtet wurde. Ist dem so, kann der Pfad auf dem FTP-Server abweichen.