Antworten auf häufig gestellte Fragen

Wir haben seit einiger Zeit zur Verbesserung der Serversicherheit, einige Aktualisierungen vorgenommen. Unter anderem ist nun auch das hier zum Tragen kommende HTTP Strict Transport Security-Verfahren aktiv (kurz: HSTS). Als eine Maßnahme gegen Man-in-the-middle-Angriffe wurde dieses Verfahren eingeführt. Der Web-Client merkt sich im Prinzip, dass eine verschlüsselte Verbindung zur Verfügung steht und nutzt diese dann auch. Nachteile ergeben sich dadurch nicht. Im Gegenteil: Suchmaschinen, wie Google, bevorzugen - nach unserem Wissen nach - sogar Seiten, die das HSTS-Verfahren unterstützen.

Sollten bei Ihrer Seite trotzdem Probleme entstehen, die sich nicht durch Ihren Webmaster in den Skripten beheben lassen, gäbe es noch die Möglichkeit der vollständigen Deaktivierung von HSTS. Dazu setzen Sie am Anfang der .htaccess Datei folgende Zeilen:

Header set Strict-Transport-Security "max-age=0" env=HTTPS
RewriteEngine On
RewriteCond %{HTTPS} off

Sie sollten also auch wieder wie gewohnt navigieren können, was dann aber das neue Sicherheits-Feature HSTS deaktiviert.

Grundlegend sollten Sie daher die Skripte prüfen und diese für HSTS optimieren, um von diesem Feature profitieren zu können. Hierzu wenden Sie sich bitte an Ihren Webmaster oder den Hersteller Ihrer verwandten Software.

Scriptsprachen wie Python, Ruby, Perl, oder CGI werden über die Schnittstelle CGI angesprochen und müssen daher im Verzeichnis /cgi-bin liegen. Sofern im Confixx CGI außerhalb von /cgi-bin aktiviert wurde, können sich die Daten auch in einem anderen Ordner befinden. Dieser Ordner darf nicht /cgi-bin heißen, da bei Aufruf von http://domains.de/cgi-bin immer der Standardordner /html/cgi-bin aufgerufen wird.

Achten Sie darauf, dass diese Dateien immer zwingend die Rechte 744 haben.

Klicken Sie mit der rechten Maustaste auf das „X" und wählen Sie die Eigenschaften. In der Zeile Adresse (URL) sehen Sie, wo die Datei laut ihrer Verlinkung liegen soll und wie sie benannt wurde. Diese Verlinkung kontrollieren Sie nun ebenfalls per FTP.

Beispiel: Bei Adresse (URL) steht:
http://www.meinedomain.de/bilder/urlaub/strand.jpg

Zur Kontrolle verbinden Sie sich per FTP und sehen nach ob die Datei tatsächlich so heißt und im betreffenden Verzeichnis liegt. Das Bild „strand.jpg" muss laut URL in folgendem FTP Pfad stehen

/html/bilder/urlaub

Achten Sie auch darauf, dass die Groß- und Kleinschreibung der Ordner/Daten mit denen, in Ihrer Verlinkung übereinstimmen. Sobald auch nur der Ordner „bilder" mit einem großen „B" geschrieben wurde, wäre das Bild nicht mehr sichtbar. Weiterhin sollte kontrolliert werden, ob für die betroffene Domain eine Weiterleitung auf ein anderes Verzeichnis als /html eingerichtet wurde. Ist dem so, kann der Pfad auf dem FTP-Server abweichen.

Bitte setzen Sie den Wert "add_default_charset" auf "off". Klicken Sie hierzu in Ihrem Kundencenter auf den Punkt "Meine Verträge", wählen Sie den betreffenden Vertrag aus und klicken Sie auf den Reiter "Experten-Einstellungen" > "Server-Einstellungen". Dort haben Sie die Möglichkeit diese und andere Einstellungen zu verändern. Wir möchten Sie ausdrücklich darauf hinweisen, dass einige Einstellungen (register_globals, allow_url_fopen, mod_rewrite)  der Sicherheit Ihres Accounts nicht zuträglich sind! Bitte nehmen Sie Einstellungen daher nur vor, wenn eines Ihrer Scripte diese zwingend voraussetzt und Sie keine andere Möglichkeit (zum Beispiel den Einsatz anderer Software)  sehen! Einige Einstellungen helfen jedoch auch die Sicherheit Ihres Accounts zu erhöhen und erheblich zu verbessern. So können Sie zum Beispiel durch ein Deaktivieren der Einstellung "display_errors" eine erhebliche Verbesserung der Sicherheit Ihres Accounts bewirken.

Bedenken Sie bitte, dass es ca. 10 Minuten dauert bevor getätigte Einstellungen wirksam werden!