Schutzregeln (Sicherheits-Header)

Kurz gesagt

Sicherheits-Header sind kurze Anweisungen, die der Server bei jedem Seitenaufruf an den Browser mitschickt. Damit fallen ganze Gruppen von Angriffen weg.

Ausführlich

HSTS: der Browser verbindet sich nur noch verschlüsselt.
CSP: legt fest, von wo Skripte und Inhalte geladen werden dürfen.
X-Frame-Options: fremde Seiten können deine Website nicht unsichtbar einbetten.
X-Content-Type-Options: der Browser liest Dateien nur als das, was sie sind.
Referrer-Policy: beim Klick auf einen fremden Link wird weniger über die Herkunft verraten.
Permissions-Policy: eingebettete Inhalte bekommen keinen Zugriff auf Kamera, Mikrofon oder Standort.

Fehlende Header sind eine Aufgabe, aber kein Notfall. Deshalb wird dieser Bereich nie rot.